Software-Lieferkette
Die Krux mit Software-Bibliotheken
Fortsetzung des Artikels von Teil 1
Wie relevant ist die Lieferketten-Problematik?
Dass solche Angriffe weitreichende Folgen haben, ist nicht erst seit gestern bekannt. Bereits vor Jahren wurden erste Fälle me-dial aufbereitet. Was die Problematik allerdings immer aktueller macht, sind die bereits erwähnten wachsenden Kundenansprüche an moderne Software-Anwendungen und die daraus resultierende Geschwindigkeit, mit der sich Software weiterentwickelt und vernetzt. In den USA wurde die beschriebene Thematik bereits vielseitig diskutiert; das führte zu einer Vorgabe des Weißen Hauses, die verlangt, dass Listen über alle beteiligten Bibliotheken einer an die Regierung gelieferten Software geführt werden müssen, eine sogenannte „Software Bill of Materials“.
Davon erhofft sich die Regierung, dass bei der Verwaltung ihrer Software umfassend und automatisiert geprüft werden kann, ob Sicherheitsprobleme innerhalb der integrierten Bibliotheken bestehen. Bei solch einer Menge an eingebundenen Bibliotheken ist es meist nicht eine Frage, ob es Sicherheitsrisiken gibt, sondern wann diese auftreten und wie schnell sie behoben werden.
Deutschland ist im direkten Vergleich weniger fortgeschritten, jedoch steigt in DAX-Unternehmen die Aufmerksamkeit für den verantwortungsvollen Umgang mit Technologien. Vor allem Automobilhersteller fragen vermehrt Beratungsdienstleistungen zur Überprüfung ihrer Software-Lieferketten an oder ziehen dazu firmeneigene Sicherheitsabteilungen zu Rate. Allerdings ist hier oft die konkrete Herangehensweise noch unklar. Doch es gibt Möglichkeiten für Unternehmen, die verwendete Software besser zu schützen (siehe Kasten).
Immer mehr Unternehmen wird bewusst, dass die Folgen eines Angriffs auf die Software-Lieferkette enorme Ausmaße haben können. Sowohl auf technischer, als auch auf der Ebene der Reputation. In den Köpfen von EntscheiderInnen sollte sich nun verankern, dass die Sicherheit einer Software-Lieferkette nicht erst dann relevant wird, wenn sie angegriffen wurde, sondern bereits während des gesamten Lebenszyklus. Sicher ist, dass dieses Thema im Kontext eines verantwortungsvollen Umgangs mit Technologien in den nächsten Jahren an Bedeutung gewinnen wird und den Unternehmenserfolg mitbestimmt.
Erik Dörnenburg ist Software Engineer bei Thoughtworks
| Was Unternehmen tun können, um sich und ihre Software besser zu schützen: |
|---|
|
1. Software regelmäßig aktualisieren Denn gerade wenn externe Software genutzt wird, sollte regelmäßig gecheckt werden, ob Aktualisierungen notwendig sind. Hier braucht es ein Bewusstsein dafür, dass Anwendungen, die am Anfang als sicher gegolten haben, dies im Laufe der Zeit mitunter nicht mehr sind. 2. Auf Sicherheit prüfen |
- Die Krux mit Software-Bibliotheken
- Wie relevant ist die Lieferketten-Problematik?
Lesen Sie mehr zum Thema
