ضمان سلسلة توريد البرمجيات: من المكونات إلى الإصدار

ما يُساعد هذا الدليل على تحقيقه

• معرفة التبعيات المُشحونة فعليًا.
• التحقق من مصدر العنصر.
• تحديد أولويات العيوب في سياقها.
• اختبار الاستبدال والتراجع.

فحص سريع

• هل تتطابق قائمة المواد مع الإصدار المنشور؟
• هل تم تضمين التبعيات غير المباشرة؟
• من يمكنه توقيع الإصدار؟
• هل يمكن الوصول إلى ثغرة أمنية أثناء استخدامك؟
• هل يمكن إزالة مكون أساسي دون حلول مؤقتة؟

طريقة خطوة بخطوة

1. 1

   رسم خريطة للإصدارات المشحونة.

   تحديد المستودعات والتبعيات المباشرة وغير المباشرة وأدوات البناء والصور والخدمات الخارجية والمالكين. ربط كل ذلك بإصدار قابل للتحقق.

   المُخرَج: خريطة المنتج والمكون والإصدار والمالك.

2. 2

   إعداد قائمة مواد قابلة للاستخدام

   إنشاء قائمة مواد لكل إصدار ومقارنتها بالمنتجات المشحونة فعليًا. معالجة الأسماء غير الدقيقة والإصدارات المفقودة والمكونات الداخلية.

   المُخرَج: قائمة مواد مؤرخة ومُدقَّقة.

3. 3

   حماية الإصدار

   تقييد حقوق النشر، وعزل المراحل الحساسة، والاحتفاظ بسجلات المصدر والملخصات والتوقيعات. التحقق من هذه الأدلة قبل النشر.

   المُخرَج: سجل الإصدار وسياسة التحقق.

4. 4

   فرز التنبيهات

   ربط كل إشعار ثغرة أمنية بالمكون والإصدار ومستوى التعرض والاستخدام الفعلي. تحديد مسؤول وموعد نهائي وقرار وأدلة الإغلاق.

   المُخرَج: قائمة فرز سياقية.

5. 5

   تجربة التغيير

   استبدال مكون حرج في بيئة اختبار، والتحقق من مسارات العمل، وتجربة التراجع. قياس التبعيات التي تعيق التغيير.

   المُخرَج: تقرير عن تمارين الاستبدال والحلول البديلة.

6. 6

   حفظ الأدلة.

   مراجعة المكونات والموردين عند الإصدارات الرئيسية وبعد الحوادث. الاحتفاظ بالسجلات لفترة تدعم التحقيق والتصحيح.

   المُخرَج: مراجعة الجدول الزمني وسجل الإصدارات.

مؤشرات الإدارة

الأخطاء الشائعة

• الخلط بين جرد المستودع والمكونات المنشورة
• الاحتفاظ بقائمة مكونات المشروع (SBOM) دون تحديثها
• تصنيف العيب حسب الدرجة فقط
• توقيع عنصر دون التحقق من مصدر البناء