Die Sicherheit der Software-Lieferkette umfasst den Schutz der digitalen Ressourcen eines Unternehmens vor Cyberbedrohungen, die von außen stammen. Der Schwerpunkt liegt auf der Reduzierung von Sicherheitslücken, die von Dritten, Open-Source-Software und Cloud-Diensten herrühren. Die Sicherung der Software-Lieferkette ist eine unverzichtbare Maßnahme zum Schutz eines Unternehmens vor Cyberangriffen.
Der weiter gefasste Begriff „Lieferkette“ bezieht sich auf die Vielzahl von Organisationen, die erforderlich sind, um ein Produkt oder eine Dienstleistung herzustellen und an den Kunden zu liefern. In der heutigen Welt bezieht sich der Begriff „Lieferkette“ in der Regel auf die Herstellung und den Transport physischer Güter, wobei ein Großteil dieser Abläufe durch die COVID-19-Pandemie, den Krieg in der Ukraine und andere globale Krisen beeinträchtigt wurde.
Die „Software-Lieferkette“ ist ein enger gefasster Teil dieser umfassenderen Lieferkette, der sich auf die Entwicklung und Bereitstellung von Anwendungen oder digitalen Diensten bezieht. In diesem Erklärbeitrag werden wir uns eingehend mit der Software-Lieferkette – und den Risiken, denen Unternehmen entlang dieser Kette ausgesetzt sind – befassen.
Die Software-Lieferkette umfasst zahlreiche Komponenten, darunter:
- Kommerzielle und Open-Source-Unternehmenssoftware
- Cloud-Dienste, einschließlich Anbieter von Software as a Service (SaaS),
Platform as a Service (PaaS) und Infrastructure as a Service (IaaS) - Lieferanten, Anbieter und Auftragnehmer , die Dienstleistungen
wie IT- und Datenmanagement, Softwareentwicklung,
sowie Cybersicherheit erbringen - Alle Partner einer Personengesellschaft mit den oben genannten Unternehmen
Jedes einzelne Glied in der Software-Lieferkette stellt ein potenzielles Sicherheitsrisiko dar, und zusammen bilden diese Glieder eine komplexe Bedrohungslandschaft. Die daraus resultierende mangelnde Transparenz entlang der gesamten Lieferkette setzt Unternehmen Sicherheitsrisiken aus, die überall dort lauern können, wo sie geschäftlich tätig sind.
Bei Angriffen auf die Software-Lieferkette wird eine Sicherheitslücke bei einem oder mehreren vertrauenswürdigen Softwarepartnern und -anbietern eines Unternehmens ausgenutzt. Angreifer nutzen diese gehackten Lösungen, um in die IT-Infrastruktur eines Unternehmens einzudringen. Da diesen Drittanbietern Zugriff auf das Netzwerk, die Anwendungen und die Daten eines Unternehmens gewährt wurde, können Hacker sie nutzen, um in die sensibelsten Bereiche eines Unternehmensnetzwerks vorzudringen und wertvolle Ressourcen zu stehlen oder die Kontrolle über kritische Systeme zu übernehmen.
Einige der größten und kostspieligsten Datenschutzverletzungen in Unternehmen in den letzten zehn Jahren standen im Zusammenhang mit Hackerangriffen auf die Software-Lieferkette. Im Zuge des Kreditkarten-Datendiebstahls bei Target 2013 stahlen die Angreifer die Anmeldedaten eines Kühltechnikers, um sich Zugang zum Lieferantenportal von Target zu verschaffen und schließlich Schadsoftware in dessen Kassensystem zu installieren. Die Diebe stahlen 40 Millionen Kreditkartennummern und erlangten Zugriff auf die persönlichen Daten von 70 Millionen Kunden. Infolge des Datenlecks musste Target eine Vergleichszahlung in Höhe von 18,5 Millionen Dollar leisten.
Im Rahmen des „ 2020 SolarWinds-Angriffs“ schleusten Hacker bösartigen Code
in die Infrastrukturüberwachungs- und -verwaltungslösung „Orion“ des Anbieters ein, wodurch es den Angreifern gelang, mehr als 100 Unternehmen und Regierungsbehörden auszuspionieren, darunter Microsoft,
Intel, Nvidia, das Ministerium für Innere Sicherheit sowie das
Finanzministerium.
Angriffe auf die Lieferkette nehmen exponentiell zu, da die IT-Umgebung im Zuge der Pandemie erweitert wird, um den Anforderungen von Remote-Mitarbeitern gerecht zu werden – sie stiegen um mindestens 300 % von 2020 auf 2021
und betreffen nach zwei Schätzungen schätzungsweise drei von fünf Unternehmen in 2021. Verizon berichtet unter , dass mehr als 60 % der Systemeinbruchsvorfälle im Jahr 2021 über einen Partner oder ein Software-Update erfolgten.
Warum sind Software-Lieferketten anfällig?
Große Unternehmen können im täglichen Geschäftsbetrieb Hunderte oder sogar Tausende von Anwendungen einsetzen, beispielsweise für die Unternehmensressourcenplanung, Business Intelligence und das Kundenbeziehungsmanagement. Sicherheitslücken in diesen Unternehmensanwendungen treten zunehmend häufiger auf, da öffentlich zugängliche Open-Source-Frameworks wie Struts und Spring immer häufiger als Bausteine für die Softwareentwicklung eingesetzt werden.
Da Unternehmen nur wenig Einblick in diese Softwarekomponenten haben und kaum Kontrolle über sie ausüben können, haben Hacker erkannt, dass sie eine Reihe von Schwachstellen ausnutzen können, die möglicherweise im Open-Source-Code enthalten sind.
Und davon gibt es viele. Laut dem Bericht „State of Open-Source Security Report 2021 “ von Contrast Security , , enthält eine durchschnittliche Anwendung 118 Programmier-„Bibliotheken“ – also Sammlungen von vorgefertigtem Code, mit denen Entwickler Aufgaben automatisieren können. Anwendungen nutzen im Durchschnitt nur 38 % dieser Bibliotheken aktiv. Inaktive Bibliotheken stellen ein erhebliches Sicherheitsrisiko dar, da Hacker potenziell bösartigen Code oder Malware unbemerkt in eine Bibliothek einschleusen können. Der Bericht ergab zudem, dass eine durchschnittliche Java-Anwendung 50 Sicherheitslücken in Open-Source-Bibliotheken aufweist, was eine Wahrscheinlichkeit von eins zu sechs für eine Sicherheitslücke bedeutet, die Angreifer ausnutzen können.
Das Aufspüren dieser Schwachstellen stellt für Unternehmen eine enorme Hürde dar. Ein einziger ausnutzbarer Programmierfehler in Java kann beispielsweise in Hunderten von Anwendungen vorkommen, da Java als Softwareentwicklungsplattform sehr beliebt ist. Zwar können die meisten Systeme zur Schwachstellenanalyse Ihnen mitteilen, dass ein bestimmtes Softwareprogramm veraltet ist, doch bieten sie in der Regel nicht die erforderliche Detailgenauigkeit, um die konkrete Datei oder Komponente zu identifizieren, die die Schwachstelle enthält – obwohl sich dies mit der von Präsident Biden unter erlassenen Verordnung Nr. 2021 zur Verbesserung der Cybersicherheit der Nation ändern könnte, die von Anbietern, die Software an die Bundesregierung liefern, verlangt, für alle Bestandteile ihrer Produkte eine Software-Stückliste (SBOM) beizufügen.
Um das Ausmaß dieser Herausforderung zu verstehen, betrachten Sie bitte die Analogie eines behördlichen Rückrufs eines Lebensmittels. Ein Lebensmittelgeschäft kann detaillierte Angaben zu seinem gesamten Bestand an „Mac and Cheese“ machen. Das Geschäft kann sogar bis auf bestimmte Chargennummern innerhalb dieses Lagerbestands herunterbrechen. Sollte jedoch eine Behörde alle Produkte im Geschäft zurückrufen wollen, die den künstlichen Lebensmittelfarbstoff FD&C Yellow #5 enthalten, hätte das Geschäft wahrscheinlich keine wirksame Möglichkeit, all diese Produkte zu identifizieren.
Dies ist im Wesentlichen das Problem, mit dem Unternehmen bei der Absicherung ihrer Software-Lieferketten konfrontiert sind. Nur wenige verfügen über wirksame Werkzeuge oder Methoden, um die erforderliche mikroskopische Betrachtung jeder Komponente in jeder Software auf jedem Gerät zu erreichen, die notwendig ist, um deren Risikograd zu erfassen.
Was ist ein Beispiel für eine Sicherheitsverletzung in der Software-Lieferkette?
Bei einem hypothetischen Angriff auf die Software-Lieferkette nimmt ein Hacker eine Open-Source-Komponente ins Visier, die in einem bestimmten Entwicklungsprojekt für Unternehmensanwendungen verwendet wird. Der Hacker ermittelt die Entwickler der Organisation, die nicht an diesem Projekt arbeiten, und verschafft sich Zugriff auf die GitHub-Konten , die für die Zusammenarbeit bei der Softwareentwicklung genutzt werden; anschließend fügt er scheinbar harmlosen Code ein, der eine Hintertür in das Projekt enthält.
„Ein einziger ausnutzbarer Programmierfehler in Java kann beispielsweise in Hunderten von Anwendungen vorkommen, da Java als Softwareentwicklungsplattform sehr beliebt ist.“
Ohne dass es bemerkt wird, wird die Hintertür in die nächste Version der Software integriert. Wenn die Anwendung aktualisiert wird, enthält sie die kompromittierte Open-Source-Komponente, wodurch der Hacker einen Zugang zum Netzwerk des Unternehmens erhält.
Geeignete Sicherheitsmaßnahmen könnten einen solchen Angriff jedoch abmildern, indem sie ungewöhnliches Verhalten erkennen – beispielsweise wenn ein Entwickler auf ein Projekt zugreift, an dem er nicht arbeitet – oder sogar durch den Einsatz einer Multi-Faktor-Authentifizierung , um den Versuch eines Hackers, sich überhaupt erst in das Konto des Entwicklers einzuloggen, von vornherein zu vereiteln.
Warum ist die Sicherheit der Software-Lieferkette wichtig?
In modernen Lieferketten haben Lieferanten häufig Zugriff auf die Informationssysteme und Daten ihrer Kundenunternehmen. Dadurch ist das Unternehmen anfällig für Sicherheitslücken, die an anderer Stelle in der Lieferkette bestehen. Ein einziger Sicherheitsvorfall an einer beliebigen Stelle der Kette kann katastrophale Folgen für das gesamte Netzwerk von Organisationen haben.
Angriffe auf die Software-Lieferkette sind immer häufiger geworden. In den letzten sechs Monaten des Jahres 2021 stieg die Zahl der Angriffe auf die Lieferkette um 51 %. Da das Lieferantenrisiko zunehmend an Bedeutung gewinnt, müssen Unternehmen dem Lieferantenrisikomanagement, umfassenden Risikobewertungen, der Erkennung und Abwehr von Bedrohungen sowie ähnlichen Maßnahmen eine höhere Priorität einräumen.
Was sind die größten Risiken für die Software-Lieferkette?
Zu den wesentlichen Risiken für die Lieferkette zählen unter anderem folgende:
- Schlechte Sicht. Die Komplexität der heutigen Software-Lieferketten macht es äußerst schwierig, sich einen klaren und genauen Überblick darüber zu verschaffen, welche Lieferanten Zugriffsrechte auf bestimmte Systeme und Ressourcen haben und welche Geräte und Dienste auf ein Netzwerk zugreifen. Ohne die umfassende Transparenz, die „ “ bietet, lässt sich nicht feststellen, ob ein Lieferant ein Sicherheitsrisiko darstellt.
- Schwachstellen bei Softwareanbietern. Da Tausende von Unternehmen dieselben Softwarelösungen nutzen, richten Angreifer, die die Lieferkette ins Visier nehmen, ihre Angriffe häufig gegen Softwareentwickler und -anbieter. Wenn Hacker einzelne Tools und Lösungen kompromittieren, verschaffen sie sich Zugang zu einer größeren Anzahl von Zielen. Hacker können eine Sicherheitslücke einbauen oder Malware in die Software einschleusen, um sich nach der Installation der Software auf dem System eines Unternehmens Zugang zu sensiblen Daten zu verschaffen. Nicht gepatchte Systeme von Drittanbietern stellen seit langem ein erhebliches Risiko für Lieferketten dar. Die jüngste Sicherheitslücke „ Log4j “ hat daher deutlich gemacht, wie wichtig solide Prozesse für das Patch-Management und die „ “ sind.
- Gefährdete Daten. Vertrauliche Daten, die ein Lieferant speichert, können bei einem Angriff gestohlen, gelöscht oder auf andere Weise kompromittiert werden. Die Folgen sind dieselben, als wäre Ihr Unternehmen direkt angegriffen worden: Betriebsausfälle, finanzielle Verluste, Reputationsschäden, rechtliche Konsequenzen und behördliche Sanktionen.
- Walfang. Ähnlich wie bei „ “ (Phishing-) richtet sich diese Art von Social-Engineering-Angriff gegen Mitarbeiter von Unternehmen. Sie erhalten E-Mails oder SMS, die scheinbar von einer vertrauenswürdigen Quelle stammen, mit dem Ziel, sie dazu zu bringen, Anmeldedaten oder andere sensible persönliche Informationen preiszugeben. Bei einem „Whaling“-Angriff kann es darum gehen, eine einzelne Person zu recherchieren und zu identifizieren, um einen „großen Fang“ zu machen, beispielsweise eine Führungskraft mit Zugriffsrechten auf höchster Ebene. Phishing zielt jedoch in der Regel auf einen größeren Kreis ab und richtet sich an Hunderte von Menschen.
- Veraltete Technologie. Unternehmen haben keinerlei Einblick in die IT-Infrastruktur ihrer Lieferanten, und es kommt nicht selten vor, dass Drittanbieter veraltete Hardware mit alter, nicht gepatchter oder nicht mehr unterstützter Software betreiben. Mit zunehmendem Alter der Technologie steigt die Zahl der Sicherheitslücken, was dieses Risiko zu einem besonders problematischen Lieferkettenrisiko macht.
- Sicherheitslücken bei Lieferanten. Wenn ein Softwareanbieter keine angemessenen Sicherheitsmaßnahmen umgesetzt hat, ist Ihr Unternehmen anfällig – ganz gleich, wie robust Ihre eigenen Sicherheitsvorkehrungen auch sein mögen. Hacker können Sicherheitslücken bei einem Lieferanten ausnutzen, um sich möglicherweise Zugang zu Ihren Systemen und Daten zu verschaffen. Wenn Lieferanten nicht überprüft und ihnen die Sicherheitsanforderungen nicht mitgeteilt werden, können Unternehmen kein Mindestmaß an Sicherheit gewährleisten.
Welche Elemente umfasst die Sicherheit der Software-Lieferkette?
Sobald ein Angreifer in Ihr Netzwerk eingedrungen ist, wird er es auf die wertvollsten Ressourcen Ihres Unternehmens abgesehen haben. Der erste Schritt zur Absicherung der Lieferkette besteht also darin, zu verstehen, welche Ressourcen Sie besitzen, die für Hacker von Wert sind. Ermitteln Sie zunächst alle Ihre Vermögenswerte und legen Sie anschließend Prioritäten für Ihre „-Kronjuwelen“ fest – jene, bei denen Sie sich keine Kompromittierung leisten können. Alles, was als geschäftskritisch eingestuft wird, kann für die meisten Unternehmen als wertvolles Gut angesehen werden; dazu können beispielsweise firmeneigene Softwarecodes, Finanz- und Kundendaten, Verschlüsselungscodes, Personalinformationen sowie geistiges Eigentum gehören.
„Im Grunde genommen stellt jedes Softwareunternehmen, mit dem Ihr Unternehmen zu tun hat, ein potenzielles Risiko dar.“
Im Rahmen dieses Schritts müssen Sie zudem die Umgebung, in der sich die einzelnen Assets befinden, sowie alle Möglichkeiten des Zugriffs darauf verstehen. Dieser Prozess zur Erfassung und Bestandsaufnahme von Ressourcen unter hilft Ihnen dabei, festzustellen, wie anfällig Ihre Ressourcen für Sicherheitsverletzungen sind und wo Sie die Risiken in der Lieferkette minimieren müssen.
Der zweite Schritt zur Sicherung der Lieferkette besteht darin, Ihre Geschäftspartner und etwaige Schwachstellen in deren Systemen zu identifizieren sowie einen soliden Prozess zum Lieferantenrisikomanagement einzuführen. Zu diesen Partnern können Softwareanbieter, Cloud-Dienstleister, Anbieter von Kassensystemen, Lohnbuchhaltungsunternehmen und sogar Sicherheitsfirmen gehören, die alle Angreifern als Einstiegspunkt gedient haben, um in umfassendere Unternehmenssysteme einzudringen. Im Grunde genommen stellt jedes Softwareunternehmen, mit dem Ihr Unternehmen zusammenarbeitet, ein potenzielles Risiko dar.
Zwar gibt es für diesen Schritt kein einheitliches Vorgehensmodell, doch sollte ein guter Prozess Maßnahmen wie die Durchführung von Risikobewertungen für Lieferanten, die Einstufung der Lieferanten nach ihrer Kritikalität, die Erstellung eines Lieferantenverzeichnisses, die Erfassung kritischer Lieferantenmerkmale sowie die langfristige Überwachung der Lieferantenleistung und der Risiken umfassen.
Das Ziel des Lieferantenrisikomanagements besteht darin, sicherzustellen, dass Ihre Lieferanten über geeignete Richtlinien und Technologien verfügen, um Ihre sensibelsten Daten zu schützen. Außerdem kann es Ihnen dabei helfen, Anbieter mit hohem Risiko zu identifizieren und gemeinsam mit ihnen Sicherheitsrisiken zu mindern oder zu entscheiden, ob Sie diese durch einen anderen Anbieter ersetzen möchten.
Was sind die größten Herausforderungen im Bereich der Software-Lieferkettensicherheit?
Wie bereits erwähnt, stellt die Transparenz eine der größten Herausforderungen im Zusammenhang mit Risiken in der Lieferkette dar. Bei physischen Waren können Lieferanten eine Liste der Materialien oder Inhaltsstoffe bereitstellen, die bei der Herstellung ihrer Produkte verwendet wurden. Die meisten modernen Softwareprogramme basieren jedoch größtenteils auf Open-Source-Komponenten. Es ist schwierig, eine Aufschlüsselung der Komponenten zu finden, aus denen eine bestimmte Anwendung besteht, und herauszufinden, wer diese hergestellt hat; zudem verfügen die meisten Menschen nicht über eine effektive Möglichkeit, dies selbst herauszufinden:
.
Unternehmen stehen zudem vor der Herausforderung, Projektentwickler zu überprüfen, um sicherzustellen, dass diese sichere Programmierpraktiken befolgen und Sicherheitslücken zügig beheben. Ihnen fehlt letztendlich ein klares Verständnis
sowie die Kontrolle über die gesamte Lieferkette, die ihrer
IT-Architektur zugrunde liegt.
Welche bewährten Verfahren gibt es im Bereich der Sicherheit der Software-Lieferkette?
Haben Sie noch nie von „Air-Gapping“ gehört? Es ist an der Zeit, dass Sie diesen und weitere Tipps kennenlernen, mit denen Sie die Sicherheit Ihrer Software-Lieferkette verbessern können:
- Verschaffen Sie sich einen umfassenden Überblick über Ihre gesamte Lieferkette. Eine Software-Lieferkette umfasst den gesamten Code, alle Dateien und sonstigen Komponenten, die zur Erstellung Ihrer Unternehmenssoftware beigetragen haben, sowie deren Herkunft und die Namen der jeweiligen Autoren. Sie möchten wissen, wie Produkte auf Sicherheitsrisiken und etwaige bekannte Schwachstellen überprüft wurden. Einfach ausgedrückt: Sie müssen so viel wie möglich über die Anwendungen in Erfahrung bringen, die in Ihrem Unternehmen eingesetzt werden.
- Schaffen Sie einen Luftspalt in Ihrem Netzwerk. Ein Luftspalt bildet eine Barriere zwischen einem Netzwerk und Angreifern, ähnlich wie ein Graben eine Burg vor einem Angriff schützt. IT-Mitarbeiter schaffen diese „Lücke“, indem sie sensible Ressourcen physisch von den mit dem Netzwerk verbundenen Systemen isolieren oder bestimmte Geräte vom Netzwerk trennen. Das Ziel des Air-Gapping besteht darin, die Möglichkeit auszuschließen, dass ein Angreifer Ihr System über eine externe Verbindung angreifen kann.
- Führen Sie regelmäßig Tests durch. Die meisten Unternehmen erkennen erst dann, wie anfällig ihre Lieferkette ist, wenn ein bestimmter Lieferant angegriffen wird. Sie müssen jedoch nicht warten, um dies herauszufinden. Durch die Durchführung von Schwachstellenscans können Sie grundlegende Sicherheitsprobleme wie Fehlkonfigurationen von „ “, unzureichende Zugriffsrichtlinien und Produktschwachstellen identifizieren und beheben, die Hacker ausnutzen könnten. Penetrationstests können zudem Aufschluss darüber geben, wie leicht Ihre Daten gestohlen werden können, indem sie einen Angriff simulieren, um etwaige Schwachstellen in Ihrem System aufzudecken und auszunutzen.
Welche Rahmenwerke gibt es für die Sicherheit der Software-Lieferkette?
Ein Sicherheitsrahmenwerk ist eine Reihe von Richtlinien und Vorgehensweisen zur Einrichtung und Aufrechterhaltung von Maßnahmen zur Cybersicherheit. Unternehmen können Rahmenwerke nutzen, um ihr Risikoniveau zu bewerten, zu verstehen, wie sie potenziell angegriffen werden könnten, und die Fähigkeiten ihrer bestehenden Cybersicherheitsprogramme zur Stärkung der Sicherheit in der Software-Lieferkette zu ergänzen.
Die US-Regierung hat beispielsweise das „ “ (NIST) Risk Management Framework (RMF) entwickelt, um festzulegen, wie Regierungsorganisationen Systeme konzipieren, absichern und überwachen müssen, um Sicherheits-, Datenschutz- und Lieferkettenrisiken zu bewältigen. Das vom National Institute of Standards and Technology (NIST) verwaltete Rahmenwerk bietet detaillierte bewährte Verfahren zur Risikobewertung und zur Verbesserung der IT-Sicherheit, um Bedrohungen wie Datenlecks und Ransomware-Angriffe abzuwehren.
Bestandteil des RMF ist ein siebenstufiger Risikomanagementprozess, der Organisationen dabei unterstützen soll, ihre Systeme sicherer zu gestalten und schneller auf Sicherheitsprobleme zu reagieren. Die Schritte lauten wie folgt:
- Bereiten Sie sich vor. In diesem Schritt bereitet sich die Organisation auf die Umsetzung des RMF vor. Zu den Aufgaben gehören die Ermittlung der wichtigsten Funktionen im Risikomanagement, die Festlegung der Risikotoleranz der Organisation, die Durchführung einer unternehmensweiten Bewertung der Risiko gemäß dem „“ sowie die Entwicklung und Umsetzung von Risikomanagementstrategien.
- Kategorisieren. Im zweiten Schritt nutzt die Organisation NIST-Standards, um ihre Informationen und Systeme zu kategorisieren und deren Risiken genau zu bewerten. Das Unternehmen erstellt eine Bestandsaufnahme aller Daten, die sich in seiner Umgebung befinden, und erfasst dabei sowohl sensible Daten, auf die unbefugte Benutzer Zugriff haben, als auch Daten von geringem Wert. Außerdem werden die Merkmale der einzelnen Systeme sowie deren Verbindungen untereinander dokumentiert.
- Auswählen. Im nächsten Schritt wählt die Organisation anhand eines im RMF enthaltenen Kontrollkatalogs die für ihre Systeme relevanten Sicherheitskontrollen aus. Zu diesen Kontrollmaßnahmen zählen Überwachungslösungen, die Multi-Faktor-Authentifizierung sowie Richtlinien, die riskante Verhaltensweisen eindämmen und im Katastrophenfall zur Wiederherstellung von Systemen und Daten beitragen. In diesem Schritt ist es wichtig zu prüfen, wer Zugriff auf vertrauliche Informationen benötigt und wer nicht.
- Umsetzen. Die Organisation führt die von ihr ausgewählten Sicherheitsmaßnahmen ein. In diesem Schritt sollten die Mitarbeiter in den neuen Abläufen und Richtlinien geschult werden sowie darin, wie diese innerhalb
jedes Systems anzuwenden sind. - Beurteilen. In diesem Schritt entwickelt und wendet die Organisation geeignete Bewertungsverfahren an, die auf den von ihr implementierten Sicherheitsmaßnahmen basieren. Ziel ist es, sicherzustellen, dass die Organisation unverzüglich auf etwaige Sicherheitsrisiken reagieren kann.
- Autorisieren. Die oberste Führungsebene entscheidet auf der Grundlage der Risikotoleranz der Organisation, ob die ausgewählten Kontrollmaßnahmen angemessen sind.
- Monitor. In diesem Schritt überwacht die Organisation die Systeme kontinuierlich, um die Sicherheit zu gewährleisten und auf etwaige Statusänderungen
zu reagieren.
Welche Quellen bieten die besten Informationen zum Thema Sicherheit in der Software-Lieferkette?
Zu den Quellen für weitere Informationen zur Sicherheit der Software-Lieferkette gehören:
- Softwaresicherheit in Lieferketten (NIST)
- Leitfaden zur Sicherheit in der Lieferkette (NCSC)
- Sicherheit in der Lieferkette – eine Angelegenheit, die uns alle betrifft (Mitre)
- Ressourcenbibliothek zur IKT-Lieferkette „ “ (CISA)
