IT-Strategie5 Tipps für eine sichere Software-Lieferkette

Schließlich können gerade Cyber-Angriffe einem Unternehmen enormen Schaden zufügen – etwa,wenn Cyber-Kriminelle über Schwachstellen in eingekauften Anwendungen auf sensible Kunden- und/oder Unternehmensdaten zugreifen können.

1. Den richtigen Zulieferer wählen

Bei den Kriterien für die Auswahl des richtigen Software-Herstellers liegt es nahe, zunächst darauf zu achten, dass dieser bereits sichere Anwendungen entwickelt und verkauft. Doch wie lässt sich das feststellen? In der IT-Branche haben sich noch keine standardisierten Verfahren etabliert, die sichere Hersteller zertifizieren. Das Whitepaper des amerikanischen Financial Services Information Sharing and Analysis Center (FS-ISAC) beschäftigt sich jedoch schon mit Kriterien, die Drittanbieter-Software erfüllen sollte, darunter unter anderem die Analyse der Software-Zusammensetzung sowie binär-statische Analysen zum Aufdecken von Schwachstellen. Bis es feste Standards gibt, müssen sich Unternehmen selbst über die Vorgehensweise der Software-Anbieter informieren.

2. Auf bereits vorhandene Zulieferer vertrauen

Unternehmen und Software-Zulieferer haben oft schon bestehende Beziehungen, die sich nicht von heute auf morgen ändern lassen. Für solche lassen sich etwa die 80/20 Regel und die Low-Hanging-Fruit-Strategie anwenden. Bei der 80/20-Regel identifizieren Unternehmen ihre Top-Software-Zulieferer und beginnen bei diesen mit dem eventuell notwendigen Transformationsprozess. Nach der Low-Hanging-Fruit-Strategie nutzen Unternehmen Zulieferer, die bereits Sicherheitskriterien vorweisen, als positives Vorbild für andere.

3. Compliance-Vorgaben und Konsequenzen

Von großer Bedeutung für die Transformation von Software-Lieferketten sind klar definierte Regeln und Voraussetzungen für die Zusammenarbeit zwischen Unternehmen und Software-Herstellern. Solche Compliance-Vorgaben müssen mit strengen Konsequenzen verknüpft und offen an Zulieferer kommuniziert werden. So können Unternehmen unter anderem Software-Tests und deren Häufigkeit, feste Fixzeiten sowie eine Risikotoleranz festlegen. Erfüllen Drittanbieter die Voraussetzungen nicht oder nur teilweise, drohen ihnen Preisnachlässe oder eine Beendigung des Vertragsverhältnisses.

4. Vorteile für Zulieferer hervorheben

Nicht immer ist das Risiko einen Kunden zu verlieren für Drittanbieter Grund genug, Compliance-Vorgaben einzuhalten. Deshalb sollten Unternehmen nicht nur Konsequenzen, sondern auch die mit der Einhaltung verbundenen Vorteile für Zulieferer aufzeigen. Das geschieht am besten anhand realer Daten, wie beispielsweise die Rentabilität einer binär-statischen Analyse im Vergleich zu einem manuellen Penetrationstest zur Aufdeckung von Anwendungsschwachstellen.

5. Zusammen an Innovationen arbeiten

Unternehmen, die sichere Lieferketten entwickeln wollen, sollten sich auch auf ihre Partnerschaft mit ihren Software-Herstellern zurückbesinnen. Wird das Thema Software-Sicherheit etwa als gemeinschaftliches Ziel dargestellt, werden nicht nur Vorgaben von Zulieferern sicher besser akzeptiert, sondern es wird auch leichter, neue Sicherheitskriterien zu etablieren.


Veracode_Arved Graf von Stackelberg

Über den Autor Arved Graf von Stackelberg

Arved Graf von Stackelberg leitet das Continental Europa Geschäft für den Anwendungssicherheits-Spezialisten Veracode. Er bringt mehr als zwölf Jahre Erfahrung in der Führung von bekannten Unternehmen aus dem Anwendungssicherheits- und Entwicklungsumfeld mit. www.de.veracode.net

0Kommentare

Es wurde bisher noch kein Kommentar verfasst. Starten Sie die Diskussion!