Open-Source Software register

Tools

Adopt

#architectuur

Waarom organisaties een open-source software-register nodig hebben

Moderne softwareontwikkeling is sterk afhankelijk van open-sourcecomponenten uit ecosystemen zoals NuGet en npm. Hoewel deze componenten de ontwikkelsnelheid verhogen, brengen zij ook risico’s met zich mee op het gebied van governance, beveiliging en compliance wanneer zij zonder toezicht en regels worden toegepast.

Recente incidenten, zoals SolarWinds, Log4Shell en de Axios supply-chain attack, in de software supply chain laten zien dat afhankelijkheidsrisico’s niet theoretisch zijn, en de huidige mogelijkheden van AI bieden nieuwe manieren om deze risico’s verder te vergroten. Tegelijkertijd maakt het tempo van softwareontwikkeling het steeds lastiger om handmatig controle te houden. Veel grote organisaties hebben hiervoor al formele beheersmaatregelen ingericht, maar dezelfde noodzaak geldt ook voor middelgrote en kleinere organisaties. De drempel lijkt groot, maar met de juiste aanpak kan dit relatief eenvoudig worden ingericht en onderhouden.

Voordelen

Vulnerability risk mitigation : Open-sourcepakketten kunnen bekende kwetsbaarheden bevatten of gecompromitteerd raken door aanvallen zoals supply-chain-attacks.
License risk mitigation : Licentievoorwaarden kunnen commercieel of intern gebruik beperken of verbieden, wat juridische risico’s creëert.
Outdated application stack risk mitigation : Bedrijfskritische applicaties kunnen afhankelijk zijn van verouderde, niet-ondersteunde of kwalitatief zwakke componenten, wat het operationele risico vergroot.

Nadelen

Time consuming : Het kost tijd om te implementeren en te blijven goed governanceproces
Zombie applicatie : Het bestaat nog bestaat, maar feitelijk heeft het geen functie of gebruikers meer.

Conclusie

Om deze redenen is het invoeren van een open-source software (OSS)-register, ondersteund door SBOM-monitoring, een belangrijke aanpak om continu inzicht te krijgen in de componenten die binnen het softwarelandschap worden gebruikt.

Technologie en tooling is slechts een onderdeel van een goed ingerichte softwareontwikkelstrategie. De werkelijke meerwaarde krijgt men wanneer de tolling ook verankerd zit in de dev-teams.

Zie ook why-organizations-need-an-open-source-software-registry