Крис Хьюз, Тони Тернер | Прозрачное программное обеспечение: Безопасность цепочек поставок ПО (2025) [PDF]

Мы живем во времена, когда программное обеспечение затрагивает все аспекты нашего общества. Оно применяется повсюду, начиная с критических инфраструктур и цифровой коммерции и заканчивая национальной безопасностью. Тем не менее тот же отчет о перспективах ВВП показывает, что только 45 % людей доверяют технологии, лежащей в основе современных экономик и общества. Отчасти это можно связать с длинной историей громких взломов систем безопасности и давней проблемой с прозрачностью цепочек поставок ПО.
Именно об этом мы хотим рассказать в связи с выходом книги “Прозрачное программное обеспечение: Безопасность цепочек поставок ПО” Криса Хьюза, Тони Тернера.
Движение за повышение прозрачности ПО внесло огромный вклад в индустрию, включая развитие концепции SBOM, создание инструментов и обсуждение важнейших пограничных случаев. Прозрачность в цепочках поставок ПО важна на протяжении всего жизненного цикла продуктов.
Авторы книги, Хьюз и Тернер, проделали огромную работу, отразив все эти достижения, а также некоторые собственные и объяснив все это в подробностях, плавно перейдя от концепции SBOM к практике SBOM. По мере того как все больше людей начинают создавать и управлять ПО, используя те принципы интероперабельной автоматизации, которые авторы так уместно предвидят, концепция SBOM утратит свою новизну, став неотъемлемой частью создания, распространения и использования ПО. И только тогда мы сможем переключиться на следующую задачу.
Для тех, кто занят разработкой ПО, SBOM представляет мощный инструмент, позволяющий лучше понять реализуемые процессы и избежать создания небезопасных по своей структуре решений или поставки продуктов, содержащих известные риски.
«Прозрачное программное обеспечение» — ценный источник знаний для специалистов по кибербезопасности и безопасности приложений, а также для профессионалов, работающих в области безопасности промышленных систем управления, облачной безопасности, мобильной безопасности, DevOps и DevSecOps.

Оглавление
1 История угроз для цепочек поставок ПО.
2 Существующие подходы — традиционное управление рисками поставщиков.
3 Базы данных уязвимостей и методы оценки.
4 Появление концепции SBOM.
5 Сложности в обеспечении прозрачности ПО.
6 Облако и контейнеризация.
7 Актуальные рекомендации для коммерческих разработок.
8 Актуальные рекомендации для государственных разработок.
9 Прозрачность ПО в операционных технологиях.
10 Практическое руководство для поставщиков.
11 Практическое руководство для потребителей.
12 Перспективы повышения прозрачности ПО.