softwareleveringsketenbeveiliging

Softwareleveringsketenbeveiliging is het geheel van beleid, processen en technologische maatregelen die gericht zijn op het waarborgen van de integriteit en veiligheid van software gedurende de hele leveringsketen. Daarmee omvat het niet alleen de eigen code en producten, maar ook alle onderdelen van leveranciers, open source componenten, build- en distributieprocessen en derde partijen die betrokken zijn bij de ontwikkeling en levering van software.

De praktijk is relevanter geworden door gerichte aanvallen op leveringsketen, waarbij kwaadwillenden via legitieme componenten of leveringskanalen kwetsbaarheden introduceren. Voorbeelden uit de praktijk zijn open source kwetsbaarheden in gebruikte bibliotheken, compromitteren van CI/CD-pijplijnen en databanken die software artefacten digitaal ondertekenen. Het bekendste voorbeeld is de SolarWinds-aanval, maar soortgelijke incidenten benadrukken de noodzaak van toezicht op de volledige keten.

Belangrijke concepten zijn onder andere de Software Bill of Materials (SBOM), die een overzicht biedt van alle onderdelen, licenties en bronnen waaruit een product bestaat; reproduceerbare builds en code- of binary signing om integriteit te bewijzen; en veilige afhankelijkheids- en artefactbeheerprocessen zoals het scannen op kwetsbaarheden in open source libraries en container images.

Organisaties volgen vaak frameworks zoals NIST Secure Software Development Framework (SSDF) en NIST SP 800-161 voor supply chain risk management, en gebruiken SBOM-standaarden zoals SPDX en CycloneDX. Wet- en regelgeving (bijv. EO 14028 in de VS) stimuleert het opnemen van SBOMs en betere transparantie. Zij helpen bij governance en auditing.

Implementatie vereist governance en automatisering: inventarisatie van alle gebruikte componenten, integratie van SBOM-creatie in CI/CD-pijplijn, automatische kwetsbaarhedenscan en verificatie van digitale handtekeningen; streng leveranciersrisicobeheer en contractuele beveiligingsvereisten; continue monitoring en een incidentresponsplan. Doel is betrouwbare softwarelevering en vermindering van risico's voor eindgebruikers.