Software Bill of Materials: TeleTrusT veröffentlicht Leitfaden

Der aktuelle TeleTrusT-Leitfaden beschreibt verfügbare SBOM-Tools sowie zukünftige Anforderungen

[datensicherheit.de, 28.08.2024] „Software Bills of Materials“ (SBOMs) sind ein relativ neues TOM-Werkzeug im Dienste der IT-Sicherheit. Deren Einsatzmöglichkeiten sollen sich in den kommenden Jahren noch deutlich erweitern. Der Bundesverband IT-Sicherheit e.V. (TeleTrusT) hat jetzt seinen von der TeleTrusT-AG „Cloud Security“ erarbeiteten Leitfaden „Software Bill of Materials“ veröffentlicht – dieser beschreibt demnach verfügbare SBOM-Tools sowie zukünftige Anforderungen an diese Werkzeuge.

Abbildung: TeleTrusT

Aktueller TeleTrusT-Leitfaden „Software Bill of Materials“

TeleTrusT warnt: Unternehmen bisher kaum in der Lage, Risiken der IT Supply Chain proaktiv zu erkennen bzw. Angriffe abzuwehren

„Software Bill of Materials“ sollen ein entscheidender Schritt zur Verbesserung der Transparenz und Sicherheit in der IT-Lieferkette sein. Die aktuell verfügbaren Werkzeuge konzentrierten sich jedoch auf Software im engeren Sinne und berücksichtigten die erweiterten Anforderungen durch die Nutzung von „Cloud Services“, sei es als „SaaS“, über „Cloud APIs“ oder durch die dynamische Einbindung gehosteter Softwarebibliotheken, bisher nur unzureichend oder gar nicht.

„Auch Bedrohungen durch Schwachstellen in der eingesetzten Hardware oder Netzwerkkomponenten werden durch SBOMs nicht berücksichtigt.“ Lieferanten und deren Komponenten würden oft ein hohes Vertrauen und weitgehende Rechte genießen. Die Transparenz über die genaue Zusammensetzung dieser Komponenten sei indes noch häufig unzureichend.

Diese Kombination führe laut TeleTrusT dazu, „dass Unternehmen kaum in der Lage sind, Risiken in der ,IT Supply Chain’ proaktiv zu erkennen oder entsprechende Angriffe abzuwehren.“ Vielmehr müssten sie sich weitgehend auf ihre Zulieferer verlassen.

TeleTrusT-Leitfaden soll Unternehmen helfen, potentielle Sicherheitslücken selbst und möglichst automatisiert hinsichtlich Schutzmaßnahmen zu bewerten

„Software Bills of Materials“, also Software-Stücklisten, böten hier eine Lösung, „indem sie eine detaillierte Auflistung der in einem Gerät, einer Software oder einem Dienst verwendeten Software-Komponenten liefern und so die Transparenz der ,Supply Chain’ erhöhen“. Dies ermögliche es Unternehmen, potentielle Sicherheitslücken selbst und möglichst automatisiert zu bewerten und gezielte Schutzmaßnahmen zu ergreifen.

SBOMs lieferten außerdem Informationen über die Lizenzen der verwendeten Komponenten und unterstützten so den Abgleich der tatsächlichen Nutzung mit den Lizenzvorgaben. Zukünftig könnten SBOMs auch dazu beitragen, die Transparenz im Datenschutz zu erhöhen, „indem sie Informationen darüber enthalten, welche Daten von welchen Systemen verarbeitet und gespeichert werden“.

Oliver Dehning, Leiter der TeleTrusT-AG „Cloud Security“, kommentiert: „,Software Bills of Materials’ sorgen für Transparenz in der ,IT Supply Chain’. Ohne sie ist eine angemessene Einschätzung von Risiken aus IT-Diensten praktisch unmöglich.“ Unternehmen sollten deshalb die Bereitstellung von SBOMs konsequent von ihren IT-Lieferanten fordern und auf allen Ebenen der IT im Rahmen von Sicherheitsüberwachung und Risikomanagement nutzen. „Der jetzt veröffentlichte neue TeleTrusT-Leitfaden soll dabei unterstützen“, so Dehning.

Weitere Informationen zum Thema:

Bundesverband IT-Sicherheit e.V. TeleTrusT, 2024
Software Bill of Materials / Leitfaden

TeleTrusT Bundesverband IT-Sicherheit e.V.
Cloud Security & SBOM / Software Bill of Materials (SBOM)

datensicherheit.de, 07.12.2023
SBOM : Software-Inventarliste wird Pflicht für alle Geräte / Whitepaper zur Software Bill of Materials (SBOM) zeigt kommende gesetzliche Anforderungen und Pflichten auf

datensicherheit.de, 01.06.2023
Neuer TeleTrusT-Leitfaden: Cloud Supply Chain Security / TeleTrusT warnt vor Attacken über vertrauenswürdig eingestufte Komponenten und IT-Services Dritter