Спецификация программного обеспечения - Software bill of materials

А спецификация программного обеспечения (спецификация программного обеспечения) - это список компонентов в части программного обеспечения. Поставщики программного обеспечения часто создают продукты, собирая Открытый исходный код и коммерческое программное обеспечение составные части. Спецификация программного обеспечения описывает компоненты продукта.[1][2] Он аналогичен списку ингредиентов на упаковке пищевых продуктов.

Концепция Спецификация хорошо зарекомендовала себя в традиционном производстве как часть система управления цепями поставок.[3] Производитель использует спецификацию для отслеживания деталей, которые он использует для создания продукта. Если впоследствии дефекты обнаруживаются в определенной детали, спецификация позволяет легко найти затронутые продукты.

Спецификация программного обеспечения полезна как для разработчика (производителя), так и для покупателя (заказчика) программного продукта. Строители часто используют доступные программные компоненты с открытым исходным кодом и сторонние программные компоненты для создания продукта; Спецификация программного обеспечения позволяет разработчику убедиться, что эти компоненты обновлены, и быстро реагировать на новые уязвимости.[4] Покупатели могут использовать программную спецификацию для выполнения уязвимость или анализ лицензии, оба из которых могут быть использованы для оценки риска в продукте. Многие компании используют Майкрософт Эксель[5] для управления BOM или их программное обеспечение BOM. Эффективность до 2010 г., когда онлайн-инструменты не оптимизировали процесс, сопряжена с дополнительными рисками и проблемами при использовании электронной таблицы.

Понимание цепочки поставок программного обеспечения, получение спецификации программного обеспечения и ее использование для анализа известных уязвимостей имеют решающее значение для управление риском.[6][7][8]

Закон об управлении цепочками поставок в киберпространстве и прозрачности 2014 г.[9] Законодательство США предлагало потребовать от правительственных агентств получать спецификации программного обеспечения для любых новых продуктов, которые они покупают. Это также потребовало бы получения спецификаций программного обеспечения для «любого программного обеспечения, микропрограмм или продуктов, используемых правительством США». Несмотря на то, что в конечном итоге это не было принято, этот закон действительно привлек внимание правительства и стимулировал принятие более поздних законов, таких как «Закон о повышении кибербезопасности Интернета вещей от 2017 года».[10][11]

Рекомендации

  1. ^ «Безопасность мобильного мира» (PDF). Crosstalkonline.org. Получено 2015-06-12.
  2. ^ «[Часть 2] Кодекс, автомобили и Конгресс: время для управления цепочкой поставок в киберпространстве». Получено 2015-06-12.
  3. ^ «Код, автомобили и конгресс: время для управления цепочкой поставок в киберпространстве». Получено 2015-06-12.
  4. ^ «Спецификация программного обеспечения улучшает управление интеллектуальной собственностью». Проектирование встроенных вычислений. Получено 2015-06-12.
  5. ^ «Использование Excel для управления ведомостью материалов (BOM)». Получено 2018-08-02.
  6. ^ «Соответствующие типы контроля безопасности программного обеспечения для сторонних поставщиков услуг и продуктов» (PDF). Docs.ismgcorp.com. Получено 2015-06-12.
  7. ^ «Топ 10 2013-A9-Использование компонентов с известными уязвимостями». Получено 2015-06-12.
  8. ^ «Риски кибербезопасности в цепочке поставок» (PDF). Cert.gov.uk. Получено 2020-07-28.
  9. ^ «H.R.5793 - 113-й Конгресс (2013–2014 гг.): Акт об управлении цепочками поставок в киберпространстве и прозрачности 2014 г. - Congress.gov - Библиотека Конгресса». Получено 2015-06-12.
  10. ^ «Закон о повышении кибербезопасности Интернета вещей от 2017 года» (PDF). Получено 2020-02-26.
  11. ^ «Закон о повышении кибербезопасности от 2017 года: Призрак Конгресса в прошлом». Получено 2020-02-26.