Die gesetzliche Pflicht zur Software-Stückliste führt zu einer Flut an CVE-Meldungen. Wie Unternehmen mittels VEX die echten Risiken herausfiltern.

Transparenz in der Software-Lieferkette verankern und Sicherheitslücken präzise identifizieren. Eine Software Bill of Materials ist die Dokumentation für Anwendungsschutz.

Die Meldung, dass US-Behörden die Anforderung an eine „Software Bill of Materials“ (SBOM) für ihre Lieferanten de facto aussetzen, ist weit mehr als eine beiläufige IT-Nachricht.

Was ist eigentlich eine Kubernetes Bill of Materials und wie funktioniert sie?

In der Vergangenheit waren Softwareanbieter von der Haftung für Sicherheitsverletzungen durch Mängel an ihren Produkten weitgehend verschont. Mit der zunehmenden Abhängigkeit von Technologie und der Häufigkeit und Raffinesse von Cyber-Angriffen zeichnet sich jetzt jedoch ein Wandel ab.

Software-Stücklisten (Software Bill of Materials, kurz SBOM) bilden ein wichtiges Fundament für die Sicherheit von Software-Lieferketten, aber auch für andere Bereiche der IT-Sicherheit im Unternehmen. Deshalb kann heute kein Unternehmen auf SBOMs verzichten.

Das BSI unterstützt den verbesserten Schutz von Wertschöpfungsketten durch SBOMs ausdrücklich. Noch ist die Phase der Definition von Spezifikationen und Standards nicht abgeschlossen, doch SBOMs werden – auch laut dem renommierten IT-Analyseanbieter Gartner – zu den großen Sicherheitstrends des kommenden Jahres zählen, und die ersten Schritte in Richtung realer Implementierungen sind nicht mehr weit.

Es ist eine große Bewegung im Gange, um zu einer SBOM-orientierten IT-Welt überzugehen. SBOM steht für eine „Software Bill of Materials“. Die Idee dahinter ist, dass jede Software oder Dienstleistung mit einem Etikett versehen sein sollte, auf dem alle Softwarekomponenten aufgeführt sind, die zur Herstellung des Produkts gehören.