Cadeia de software: exigir evidência
A aquisição de software ganha qualidade quando as declarações do fornecedor são substituídas por evidência verificável.
Em resumo
O NIST SP 800-218 Version 1.1 recomenda práticas de desenvolvimento seguro integráveis em modelos de SDLC e descreve um vocabulário comum útil em aquisições. [claim-cy-ssdf] A decisão recomendada é pedir evidência proporcional ao risco. [claim-cy-evidencia]
- Peça artefactos, não apenas declarações.
- Associe evidência a riscos e responsáveis.
- Reveja quando o produto ou a cadeia de fornecimento mudar.
O que a fonte recomenda
O NIST publicou o SP 800-218 final em 2022-02-03 e recomenda práticas de desenvolvimento seguro que podem ser integradas em cada implementação de SDLC. [claim-cy-ssdf]
Evidência para a compra
Opinião: o processo de compra deve definir quais os artefactos aceitáveis, quem os verifica e quando são atualizados. [claim-cy-evidencia]
Limites e revisão
O SSDF é uma recomendação técnica e não prova que um fornecedor específico seja seguro ou que não existam vulnerabilidades. [claim-cy-ssdf]
Fontes consultadas
Consultadas na data de atualização indicada.
Abre numa nova janela.Participar
Partilhe a análise. Acrescente contexto.
Divulgue a matéria no seu canal ou deixe uma observação ligada ao tema.
Comentários
A carregar a conversa.