Was auch immer Sie dabei finden, Sie müssen es festhalten. Es haben sich zwei Standards für den Austausch solcher Informationen herausgebildet: Software Package Data Exchange (SPDX), ein ISO-Standard, der von einer Arbeitsgruppe der Linux Foundation entwickelt wurde, und Cyclone DX, eine von OWASP geleitete Initiative mit einem etwas leichtgewichtigeren Ansatz zur Beschreibung von Software-Metadaten.

Ihre Lösung sollte in der Lage sein, solche Dateien zu importieren/lesen und zu visualisieren sowie Ihre kuratierten Daten entsprechend zu exportieren.

Es ist unbedingt erforderlich, die mit den Lizenzen verbundenen Rechte und Pflichten gemäß des SBOM festzulegen. Dies darf nicht nur auf einer allgemeinen Basis geschehen, sondern muss im individuellen Nutzungskontext erfolgen. Aufgrund eines anderen Geschäftsmodells oder geänderter IP-Anforderungen kann dieselbe Kostellation unterschiedliche Verpflichtungen mit sich bringen. Dies sollte von der rechtlichen Komponente erkannt und aufgelöst werden können.

Für alle verwendeten Open-Source-Komponenten sollte es möglich sein, Bekannte Schwachstellen abzugleichen, unabhängig davon, ob sich die Lösung noch in der Entwicklung befindet oder bereits im Feld. Besonders bei älteren Versionen wird es zu einer Herausforderung, verschiedene Versionen über den Lebenszyklus hinweg zu verwalten und zu pflegen. TrustSource unterstützt diese Aufgaben und hilft Ihnen nicht nur mit Warnhinweisen, sondern auch bei deren Verwaltung für ältere SBOMs sowie die  die Verwaltung von zugehörigen VEX- und CSAF-Dokumenten.

Um eine ordnungsgemäße Umsetzung für arbeitsteilig organisierte Unternehmen zu gewährleisten, ist es eine Voraussetzung, Genehmigungsprozesse Workflow-gestützt zu automatisieren. Einerseits sind Lieferdruck und Präzisionsanspruch konkurrierende Interessen, die für einzelne Personen nicht auflösbar sein werden. Andererseits sind die Fähigkeiten zur Entwicklung von Software und die Kompetenz zur Beurteilung des Rechts- oder Sicherheitsstatus zwei sehr unterschiedliche Paar Schuhe. Genehmigungsprozesse und die Verteilung der Verantwortlichkeiten sollten von jeder Lösung unterstützt werden, um den langfristigen Erfolg der Open Source Compliance zu gewährleisten.

Um die Arbeitsergebnisse zu sichern und Verantwortlichkeiten zu schaffen, ist ein übergreifendes Rollen- und Rechte-Management entscheidend. Weder sollte jeder in der Organisation alle Projekte sehen können, noch sollte es jedem möglich sein, Genehmigungen zu erteilen. Wenn sie erteilt werden, sollten sie nachvollziehbar sein. Ohne personalisierte Verantwortung wird Ihr Compliance-Ansatz zum Scheitern verurteilt sein.

Schließlich ist das Ziel die Erstellung eines soliden „Notice-Files“, einer rechtlichen Dokumentation. Diese Erstellung sollte unterstützt und so weit wie möglich automatisiert werden, um die Zeit Ihrer Entwickler zu sparen. Checklisten, mit anstehenden Aufgaben, um eine entsprechende Datei zu erstellen, sollten unterstützt werden. So lässt sich  eine ordnungsgemäße Übergabe gewährleisten. Darüber hinaus sollte eine gute Versionsverwaltung und Publikationsunterstützung auch für Systeme ohne UI nicht fehlen.

Heutigen Entwicklungsumgebungen sind stark integriert. Daher ist es von entscheidender Bedeutung, wichtige Funktionalität auch über ein API bereitzustellen. Der Scan- und Genehmigungsprozess könnte mit anderen Tools und Lösungen Ihres DevOps-Zyklus zusammenarbeiten; Informationen austauschen. Ein sicheres und solides API-Management ist unerlässlich, um Ihre Software-Lieferkette vor bösartigen Akteuren zu schützen, die diese zu manipulieren versuchen.