ohjelmistoketjussa

Ohjelmistoketjussa viitataan ohjelmistotuotteen toimitusketjuun ja siihen liittyviin prosesseihin, joiden kautta ohjelmisto kehitetään, rakennetaan, toimitetaan ja ylläpidetään. Ketju alkaa tarvekartoituksesta ja suunnittelusta ja päättyy loppukäyttäjään, sisältäen kehitystyön, kolmannen osapuolen komponentit sekä jakelu- ja päivitysputket.

Ohjelmistoketjun keskeisiä osa-alueita ovat: kehitys- ja rakennusputket (build pipelines), riippuvuuksien hallinta, avoimen lähdekoodin komponentit sekä lisenssien hallinta. Keskeistä on myös ohjelmiston ainesluettelo (SBOM), joka kuvaa käytetyt komponentit, niiden versiot ja alkuperän. Tämä auttaa riskinarvioinnissa, valvonnassa ja vaikutusten rajaamisessa.

Turvallisuus ja riskienhallinta ovat olennaisia ohjelmistoketjussa. Hyökkäykset voivat kohdistua kolmannen osapuolen kirjastojen haavoittuvuuksiin, riippuvuuksiin tai rakennus- ja jakelupolkuihin. Siksi on tärkeää varmistaa koodin aitous, allekirjoitukset, toimitettavan ohjelmiston eheys sekä säännöllinen päivitysrytmin ylläpito.

Hallinta ja käytännöt: organisaatioiden tulisi määritellä politiikat, vastuut, toimittajayhteistyö sekä jatkuva valvonta. Riippuvuuksien hallinnan lisäksi on olennaista varmistaa, että uudet komponentit käyvät läpi hyväksyntä- ja testausprosessit ennen tuotantoon vientiä.

Standardit ja viitekehykset: ohjelmistoketjun hallintaa ohjaavat useat standardit, kuten NIST SP 800-161 -toimialariskienhallinta ohjelmistotoimitusketjuissa sekä ISO/IEC-standardeja. SBOM-formaatit, kuten CycloneDX ja SPDX, helpottavat komponenttien kuvaamista ja vertailua.