Was die SBOM-Richtlinie für Anbieter von Cloud-Diensten bedeutet
In seiner SBOM-Richtlinie gibt das BSI Empfehlungen, wie sich Software-Hersteller auf die Umsetzung des Cyber Resilience Acts vorbereiten können. Ein Überblick.
- Jens Plogsties
In der digital vernetzten Welt nimmt die Zahl der Hackerangriffe exponentiell zu. Sie verursachen finanzielle Schäden, gefährden die Sicherheit persönlicher Daten und im Extremfall die Versorgungssicherheit – beispielsweise von Strom und Wasser. Hier will die EU mit dem Cyber Resilience Act (CRA) gegensteuern und Hersteller von Produkten mit digitalen Elementen zur Einhaltung gemeinsamer Sicherheitsstandards verpflichten. Das Bundesamt für Sicherheit in der Informationstechnik (BSI) hat mit der SBOM-Richtlinie (Software Bill of Materials) nun Empfehlungen formuliert, mit denen Softwarehersteller schon jetzt Transparenz über die verwendeten Komponenten schaffen und sich frühzeitig auf den CRA vorbereiten können.
Eine SBOM ist eine Liste, die alle Bestandteile einer Softwarelösung enthält – und die SBOM-Richtlinie des BSI ist eine Empfehlung, wie diese konkret aussehen sollte. Die Grundidee ist, dass Organisationen von Sicherheitsproblemen oder Attacken betroffene Softwarekomponenten schnell identifizieren und entsprechende Maßnahmen einleiten können. Ausgenutzte Schwachstellen in häufig verwendeten Standardkomponenten wie Log4j oder OpenSSL haben die Bedeutung schneller Reaktionsfähigkeit mehr als deutlich gemacht. Die Umsetzung der SBOM-Richtlinie hilft Unternehmen, die Sicherheit ihrer IT zu verbessern, die Kontrolle über geschäftskritische Anwendungen zu behalten und jederzeit arbeitsfähig, das heißt resilient zu bleiben.
Die SBOM-Richtlinie ist sowohl für Anbieter als auch für Nutzer von Cloud-Diensten relevant. Solche Dienste basieren in der Regel auf vielen verschiedenen Microservices und werden mithilfe von Containern auf Basis von Docker oder Kubernetes betrieben. Für Kunden ist es sehr herausfordernd, den Überblick über alle Einzelkomponenten zu behalten. Genau an diesem Punkt setzt das SBOM-Konzept an. Der Kasten "Eckpunkte des SBOM-Konzepts" führt die damit angestrebten Vorteile auf. Die sprechen zwar inhaltlich für sich, jedoch ist das Erstellen und die Pflege einer SBOM keineswegs trivial und setzt umfangreiches Know-how sowie ausreichend personelle Ressourcen voraus.
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Volvo EX30 im Test: Elektroauto mit überreichlich Power
Raspi: Eigene Serverdienste mit einem Klick einrichten
Vier E-Reader mit Farbdisplay im Test: Entspannt im Freien lesen
Keller trocknen: Das Taupunktlüftungssystem im Smart Home betreiben
Ausprobiert: Fritzbox als NAS-Ersatz verwenden
Drei Luxusgrafikkarten mit GeForce RTX 4080 Super für 4K und KI im Test
Immer mehr Wissen. Das digitale Abo für IT und Technik.
Volvo EX30 im Test: Elektroauto mit überreichlich Power
Raspi: Eigene Serverdienste mit einem Klick einrichten
Vier E-Reader mit Farbdisplay im Test: Entspannt im Freien lesen
Keller trocknen: Das Taupunktlüftungssystem im Smart Home betreiben
Ausprobiert: Fritzbox als NAS-Ersatz verwenden