Software-Stückliste: Mehr Transparenz zur Abwehr von Cyber-Bedrohungen

• Autor:
• Autorenname

  Quantumrun-Vorausschau
• 10. Juni 2022

Zusammenfassung der Einblicke

Der Vorstoß für Software Bills of Materials (SBOMs) zielt darauf ab, die nationale Cybersicherheit zu stärken, indem detaillierte Listen von Komponenten in Softwareprojekten gefordert werden. Diese Initiative verbessert nicht nur die Zusammenarbeit zwischen Software- und Hardware-Teams, sondern eröffnet auch neue Möglichkeiten in den Bereichen Schulung, Compliance und Beratung. Es bringt jedoch auch Herausforderungen mit sich, etwa den potenziellen Marktausschluss für nicht konforme Softwareanbieter und die Notwendigkeit einer kontinuierlichen Anpassung der Gesetzgebung.

Kontext der Softwarestückliste

US-Präsident Joe Biden ergriff im Mai 2021 Maßnahmen, um den wachsenden Bedenken hinsichtlich der Cybersicherheit im Land Rechnung zu tragen, indem er eine Durchführungsverordnung erließ, die Softwareverkäufer verpflichtet, Beschaffungsstellen des Bundes eine Software-Stückliste (Software Bill of Materials, SBOM) zur Verfügung zu stellen. Dieser Schritt zielt darauf ab, die Cybersicherheitsmaßnahmen des Landes zu stärken und die Netzwerke der Bundesregierung zu schützen. Die Anordnung erfolgte als Reaktion auf eine Reihe hochkarätiger Cyberangriffe, die landesweite Aufmerksamkeit erregten und den dringenden Bedarf an verbesserten Sicherheitsprotokollen verdeutlichten.

Die zunehmende Abhängigkeit von digitaler Technologie hat sowohl öffentliche als auch private Organisationen anfälliger für Cyberangriffe gemacht. Um dieses Problem anzugehen, betont die Durchführungsverordnung die Bedeutung von SBOMs, bei denen es sich im Wesentlichen um detaillierte Listen der in Softwareprojekten verwendeten Komponenten handelt. Diese Listen enthalten Informationen wie die Versionen der einzelnen Komponenten, ihren aktuellen Patch-Status, etwaige Lizenzen und ob sie Open-Source-Bibliotheken enthalten.

Durch die Bereitstellung dieses Detaillierungsniveaus sollen SBOMs es Unternehmen erleichtern, potenzielle Schwachstellen zu identifizieren und vorbeugende Maßnahmen zu ergreifen. Beispielsweise führte der Angriff auf die Colonial Pipeline in Houston, Texas, im Mai 2021 zu einer Unterbrechung der Treibstoffversorgung und es dauerte fast eine Woche, bis die Störung behoben war. SBOMs zielen darauf ab, den Zeitaufwand für die Behebung solcher Vorfälle zu verkürzen, indem sie eine klare Bestandsaufnahme der Softwarekomponenten bereitstellen und so eine effizientere Identifizierung und Behebung von Schwachstellen ermöglichen. Dies ist besonders wichtig für Systeme, die die physische Infrastruktur steuern, wo ein Cyberangriff unmittelbare und weitreichende Folgen haben könnte.

Störende Wirkung

Der Vorstoß für SBOMs zielt darauf ab, einen Industriestandard zu schaffen, der von einem breiten Spektrum von Interessengruppen übernommen werden könnte, von Softwareentwicklern bis hin zu Hardwareherstellern. Diese Initiative ermutigt diese Teams, bei der Entwicklung und Herstellung von Produkten enger zusammenzuarbeiten. Durch die Bereitstellung einer zentralisierten Ansicht des gesamten digitalen Ökosystems bieten SBOMs Einblick in alle Aspekte eines Projekts, unabhängig von den verwendeten digitalen Tools. 

Die Einführung von SBOMs hat das Potenzial, die Kommunikation und Koordination zwischen Hardware- und Softwareteams erheblich zu verbessern. Durch die Bereitstellung von Echtzeitdaten und Transparenz können SBOMs als wirksames Instrument zur Identifizierung und Behebung von Sicherheitslücken dienen, bevor diese von Cyberkriminellen oder anderen feindlichen Akteuren ausgenutzt werden können. Dieser Echtzeitcharakter von SBOMs könnte die Cybersicherheit grundlegend verändern und schnellere Reaktionen und proaktivere Maßnahmen ermöglichen. Für Softwareanwender und -anbieter bedeutet dies ein größeres Vertrauen in die Sicherheit der Produkte, die sie verwenden oder verkaufen.

Das Bundesmandat für SBOMs dürfte auch neue Wege in den Bereichen Schulung, Compliance und Cybersicherheitsberatung eröffnen. Dies bietet Anbietern von Softwareplattformen die Möglichkeit, neue Produktlinien zu entwickeln, die speziell auf die Anforderungen der Bundesregierung zugeschnitten sind. Diese Spezialprodukte könnten dann zum neuen Standard für andere Sektoren werden, was zu einer Dominowirkung verbesserter Cybersicherheitsmaßnahmen in allen Branchen führen würde. 

Auswirkungen von SBOMs

Weitere Auswirkungen von SBOMs können sein: 

• Verbesserte regulatorische Steuerung von Softwarelizenzen, was zu einer transparenteren und rechtskonformeren Nutzung und Verbreitung von Software führt.
• Andere nationale Regierungen verabschieden SBOM-Gesetze, um sowohl ihre inländische Cybersicherheit zu stärken als auch die wirtschaftliche Integration mit den USA zu verbessern
• Softwareanbieter, die nicht in der Lage sind, eine SBOM zu erstellen, werden aufgrund von Nichteinhaltung von den Märkten ausgeschlossen, was die Hürde für den Markteintritt höher legt.
• Handelsunternehmen legen ihre eigenen SBOM-Anforderungen für Anbieter fest und orientieren sich dabei an staatlichen Richtlinien, um die Haltbarkeit, Zuverlässigkeit und Sicherheit ihrer digitalen Systeme zu verbessern.
• Eine Verschiebung der Geschäftsmodelle für Cybersicherheitsberatungsunternehmen, die sich stärker auf SBOM-Compliance und -Prüfung konzentrieren und neue Einnahmequellen schaffen.
• Erhöhte Beschäftigungsmöglichkeiten in den Bereichen Cybersicherheit und Software-Auditing, da die Nachfrage nach Experten wächst, die die SBOM-Anforderungen bewältigen können.
• Ein potenzieller Anstieg der Softwarekosten für Endbenutzer, da Unternehmen die mit der SBOM-Compliance verbundenen Kosten möglicherweise an die Verbraucher weitergeben.
• Politische Entscheidungsträger stehen vor der Herausforderung, die SBOM-Gesetzgebung auf dem neuesten Stand zu halten, da sie sich an die sich schnell entwickelnden Cybersicherheitsbedrohungen und -technologien anpassen müssen.

Fragen zu berücksichtigen

• Angesichts der Tatsache, dass die Durchführungsverordnung der Biden-Regierung zu SBOMs eine Reaktion auf einen Cyberangriff auf Bundesvermögen war, glauben Sie, dass SBOMs die Häufigkeit und das Ausmaß von Cyberangriffen in Zukunft verringern könnten?
• Da SBOMs komplizierte Informationen und Details über die Zusammensetzung und das Design eines Softwareprodukts liefern, stellen SBOMs selbst eine Sicherheitsbedrohung dar, wenn feindliche Akteure darauf zugreifen können? Wie kann dieses Szenario verhindert werden?