Was auch immer Sie vorfinden – Sie müssen es dokumentieren. Zwei Standards zum Austausch solcher Informationen haben sich etabliert: Software Package Data Exchange (SPDX), ein von einer Arbeitsgruppe der Linux Foundation entwickelter ISO-Standard, sowie CycloneDX, eine von OWASP geführte Initiative, die einen schlankeren Ansatz zur Beschreibung von Software-Metadaten verfolgt.

Ihre von Ihnen eingesetzte Lösung sollte in der Lage sein, solche Dateien zu importieren, auszulesen und darzustellen – ebenso wie Ihre aufbereiteten Daten entsprechend zu exportieren.

Es ist absolut entscheidend, die mit den Lizenzen laut SBOM verbundenen Rechte und Pflichten zu ermitteln. Dies darf nicht nur allgemein, sondern muss im konkreten Nutzungskontext erfolgen. Abhängig vom Geschäftsmodell oder geänderten Anforderungen an geistiges Eigentum können sich für dieselbe Lösung unterschiedliche Verpflichtungen ergeben. Diese sollten von der juristischen Logik erkannt und aufgelöst werden, die der Lösung zugrunde liegt.

Für alle verwendeten Open-Source-Komponenten sollte es möglich sein, bekannte Schwachstellen zuzuordnen – unabhängig davon, ob sie sich noch in der Entwicklung befinden oder bereits im Einsatz sind. Besonders bei älteren Versionen wird es zur Herausforderung, unterschiedliche Versionen über den gesamten Lebenszyklus hinweg zu verwalten und zu pflegen. TrustSource unterstützt Sie dabei und hilft nicht nur beim Management von Schwachstellenwarnungen für ältere SBOMs, sondern ermöglicht auch die Verwaltung von VEX- und CSAF-Dokumenten.

Um eine reibungslose Bearbeitung in arbeitsteilig organisierten Unternehmen sicherzustellen, ist die Automatisierung von Freigabeprozessen mit Workflow-Unterstützung eine grundlegende Voraussetzung. Auf der einen Seite stehen Zeitdruck und Lieferverpflichtungen, auf der anderen der Anspruch auf Genauigkeit – beides sind konkurrierende Interessen, die nicht von einer einzelnen Person aufzulösen sind. Zudem unterscheiden sich fachliche Entwicklungskompetenz und die Fähigkeit, rechtliche oder sicherheitsrelevante Bewertungen vorzunehmen, grundlegend. Freigabeprozesse und eine klare Aufgabenverteilung sollten daher systemisch unterstützt werden, um den langfristigen Erfolg Ihrer Lösung zu gewährleisten.

Um Arbeit abzusichern und Verantwortlichkeiten klar zuzuordnen, ist ein übergreifendes Benutzer- und Rollenmanagement unerlässlich. Nicht jeder in der Organisation sollte alles sehen dürfen – und ebenso wenig sollte jeder Freigaben erteilen können. Werden Berechtigungen vergeben, müssen diese nachvollziehbar sein. Ohne persönliche Verantwortlichkeit wird Ihr Compliance-Ansatz scheitern.

Ziel ist letztlich die Erstellung einer vollständigen und korrekten Notice-Datei. Dieser Prozess sollte unterstützt und – soweit möglich – automatisiert werden, um nicht die Zeit Ihrer Entwickler zu rauben. Checklisten zur Finalisierung der Notice-Datei sollten bereitgestellt werden, um eine ordnungsgemäße Auslieferung sicherzustellen. Darüber hinaus dürfen ein gutes Versionsmanagement sowie Unterstützung bei der Veröffentlichung – auch für Systeme ohne Benutzeroberfläche – nicht fehlen.

Heutige Umgebungen sind stark integriert. Daher ist es ein Schlüsselmerkmal, so viele Funktionen wie möglich über APIs bereitzustellen. Der Scan- und Freigabeprozess könnte in andere Tools und Lösungen Ihres DevOps-Zyklus integriert werden. Ein solides und sicheres API-Management ist entscheidend, um Ihre Software-Lieferkette vor schädlichen Akteuren zu schützen, die versuchen könnten, sie zu manipulieren.