વિકાસકર્તાઓ માટે થર્ડ પાર્ટી રિસ્ક મેનેજમેન્ટ સોફ્ટવેર

2. શા માટે થર્ડ પાર્ટી વેન્ડર રિસ્ક મેનેજમેન્ટ સોફ્ટવેર તમારા કોડમાં શું છે તે જોઈ શકતું નથી

પરંપરાગત રીતે, તૃતીય પક્ષ જોખમનો અર્થ વિક્રેતા જોખમ થતો. તમે પ્રશ્નાવલી મોકલશો, પ્રમાણપત્રો તપાસશો, કદાચ ઝડપી ઓડિટ કરશો અને આગળ વધશો. જોકે, સોફ્ટવેર હવે તે રીતે કામ કરતું નથી.

આજે, તમારો કોડબેઝ પેકેજો અહીંથી ખેંચે છે npm, પી.પી.પી., માવેન, ડોકર હબ, અને વધુ. આ એવા વિક્રેતાઓ નથી જેમને તમે કરાર કરો છો, તેઓ એવા ફાળો આપનારાઓ છે જેમને તમે જાણતા નથી. તેમાંના કેટલાક મહત્વપૂર્ણ નિર્ભરતા જાળવી રાખે છે, અન્ય લોકોએ વર્ષોથી તેમનો કોડ અપડેટ કર્યો નથી. અને ક્યારેક ક્યારેક, કોઈ ઉપયોગી મોડ્યુલના વેશમાં માલવેર અપલોડ કરે છે.

પરિણામે, આ "અદ્રશ્ય સપ્લાયર્સ" વધતી જતી હુમલાની સપાટીનું પ્રતિનિધિત્વ કરે છે. તેઓ રજૂ કરી શકે છે:

• ગંભીર નબળાઈઓ
• અસંગત અથવા જોખમી લાઇસન્સ (GPL, AGPL, SSPL…)
• ભવિષ્યમાં કોઈ અપડેટ વિના ત્યજી દેવાયેલા પેકેજો
• ટ્રોજનાઇઝ્ડ ડિપેન્ડન્સીઝ અથવા અસ્પષ્ટ પેલોડ્સ

તદનુસાર, ફક્ત પરંપરાગત તૃતીય પક્ષ વિક્રેતા જોખમ વ્યવસ્થાપન સોફ્ટવેર પર આધાર રાખવાથી તમને તમારામાં પહેલાથી જ બેઠેલા જોખમોથી રક્ષણ મળશે નહીં. pipeline. જો તમારી તૃતીય પક્ષ જોખમ વ્યૂહરચનામાં ઘટક-સ્તરનું સ્કેનિંગ શામેલ નથી, તો તમે એક અંધ સ્થળ ખુલ્લું છોડી રહ્યા છો.

વધુમાં, પાલન ફ્રેમવર્ક DORA અને NIS2 ની જેમ, હવે તમે તૃતીય પક્ષ કોડનું સંચાલન એ જ રીતે કરો છો જે રીતે તમે તૃતીય પક્ષ સેવાઓનું સંચાલન કરો છો તેવી જ રીતે અપેક્ષા રાખો છો. તેમાં લાઇસન્સ ગવર્નન્સ, સોફ્ટવેર પ્રોવેન્સ અને સક્રિય નબળાઈ ઘટાડાનો સમાવેશ થાય છે.

તૃતીય પક્ષ જોખમ વ્યવસ્થાપન પ્લેટફોર્મ ક્ષમતાઓ ખરેખર કઈ બાબતો મહત્વની છે?

જો તમારું તૃતીય પક્ષ જોખમ વ્યવસ્થાપન સાધન ફક્ત વિક્રેતાઓને ટ્રેક કરે છે, તો તે વાસ્તવિક સમસ્યાને ચૂકી રહ્યું છે. વિકાસકર્તાઓ હવે પેકેજો, કન્ટેનર, સ્ક્રિપ્ટો અને CI/CD પ્લગઇન્સ. તેથી, તમે જે સોફ્ટવેર મોકલો છો તેમાં ઘણીવાર સેંકડો તૃતીય-પક્ષ તત્વો હોય છે જે તમે બનાવ્યા નથી, સમીક્ષા કરી નથી અથવા ચકાસ્યા નથી.

આ જોખમને યોગ્ય રીતે સંચાલિત કરવા માટે, આધુનિક તૃતીય પક્ષ જોખમ વ્યવસ્થાપન સોફ્ટવેરને નવા ધોરણને પૂર્ણ કરવું આવશ્યક છે standard અને, તેને તે સ્તરે કામ કરવાની જરૂર છે જ્યાં વાસ્તવિક જોખમો રહે છે: તમારા કોડબેઝમાં અને pipelines.

ખાસ કરીને, યોગ્ય ઉકેલ શું આપશે તે અહીં છે:

SBOMતૃતીય પક્ષ જોખમ વ્યવસ્થાપન પ્લેટફોર્મમાં s અને દૃશ્યતા

તમે જે જોઈ શકતા નથી તેને સુરક્ષિત કરી શકતા નથી. તમારા પ્લેટફોર્મ પર બધા તૃતીય-પક્ષ ઘટકો ઓળખવા આવશ્યક છે, જેમાં ટ્રાન્ઝિટિવ ડિપેન્ડન્સી અને સિસ્ટમ-લેવલ પેકેજોનો સમાવેશ થાય છે. એક સંપૂર્ણ અને સતત અપડેટ થયેલ સોફ્ટવેર બિલ ઓફ મટિરિયલ્સ (SBOM) હવે વૈકલ્પિક નથી, તે DORA, NIS2 અને એક્ઝિક્યુટિવ ઓર્ડર 14028 જેવા ફ્રેમવર્ક દ્વારા જરૂરી છે.

લાઇસન્સ જોખમ શોધ અને શાસન

લાઇસન્સ ઉલ્લંઘનો મુકદ્દમા શરૂ કરી શકે છે અથવા તમને તમારા સમગ્ર સ્ટેકને ઓપન-સોર્સ કરવા માટે દબાણ કરી શકે છે. તમારા સાધનોએ ઉચ્ચ-જોખમવાળા લાઇસન્સ શોધો (જેમ કે AGPL અથવા SSPL), કસ્ટમ નીતિઓ લાગુ કરો, અને અજાણ્યા અથવા વિરોધાભાસી લાઇસન્સ પ્રકારો ઉત્પાદન સુધી પહોંચે તે પહેલાં તેમને પકડી લો.

જાળવણી અને અપ્રચલિતતા ચેતવણીઓ

જૂની લાઇબ્રેરીઓ ઘણીવાર સંવેદનશીલ, અનપેચ્ડ અને જાળવણી વિનાની હોય છે. જ્યારે કોઈ ઘટક વર્ષોથી અપડેટ ન થયો હોય, અથવા જ્યારે તેનો જાળવણીકાર ગાયબ થઈ ગયો હોય ત્યારે તમારા પ્લેટફોર્મે તમને ચેતવણી આપવી જોઈએ. આ ટેકનિકલ દેવું સુરક્ષા દેવામાં ફેરવાતા અટકાવવામાં મદદ કરે છે.

રીઅલ-ટાઇમ માલવેર અને સપ્લાય ચેઇન થ્રેટ ડિટેક્શન

દૂષિત પેકેજો ઓડિટ સમીક્ષાઓની રાહ જોતા નથી. તેઓ શાંતિથી ભળી જવા અને સક્રિય થવા માટે રચાયેલ છે. એટલા માટે તમારા જોખમ વ્યવસ્થાપન પ્લેટફોર્મમાં ટ્રોજન, બેકડોર, ટાઇપોસ્ક્વેટિંગ અને શંકાસ્પદ સ્ક્રિપ્ટ્સ માટે રીઅલ-ટાઇમ સ્કેનિંગ શામેલ હોવું જોઈએ, તે પહેલાં તેમાંથી કોઈપણ તમારા પર્યાવરણમાં પ્રવેશ કરે.

બિલ્ટ-ઇન રીએબિલિટી અને પ્રાથમિકતા

વિકાસકર્તાઓને 500 બિનઉપયોગી નબળાઈઓથી ભરી દેવાથી સુરક્ષામાં સુધારો થતો નથી. તેના બદલે, તે ઘોંઘાટ પેદા કરે છે, કાર્યવાહીમાં વિલંબ કરે છે અને સમય બગાડે છે. તેથી, એક ઉપયોગી પ્લેટફોર્મ આગળ વધવું જોઈએ. તે બતાવવું જોઈએ કે તમારી એપ્લિકેશનમાં ખરેખર શું પહોંચી શકાય છે અને શું વાપરી શકાય છે. વધુમાં, તેણે વ્યવસાયિક અસરના આધારે મુદ્દાઓને પ્રાથમિકતા આપવી જોઈએ અને વાસ્તવિક જોખમોને છુપાવ્યા વિના ચેતવણી થાક ઘટાડવો જોઈએ.