Shane Coughlan, General Manager von OpenChain, ging auf diese Frage ein, nachdem die National Telecommunications and Information Administration (NTIA) die Definition einer Mindeststückliste für Software (SBOM) gefordert hatte. Laut den SBOM-FAQ der NTIA ist eine „Software-Stückliste (SBOM)“ eine vollständige, formal strukturierte Liste von Komponenten, Bibliotheken und Modulen, die für die Erstellung einer bestimmten Software erforderlich sind, sowie der Lieferkettenbeziehungen zwischen

Bereits im Februar veröffentlichte Revenera einen Blog mit dem Titel „2021 wird das Jahr der automatisierten Software-Stückliste“. Diese Vorhersage ist durch eine von Präsident Biden unterzeichnete Durchführungsverordnung der Realität ein ganzes Stück näher gekommen. Die Anordnung, die sich auf die Cybersicherheit konzentriert, enthält neue Sicherheitsanforderungen für Softwareanbieter, die Software an die US-Regierung verkaufen. Einige der spezifischen Anforderungen in der Anordnung

Etwa 80% oder mehr des meisten Anwendungscodes in moderner Software besteht aus Abhängigkeiten, also Code, der referenziert und gebündelt wird, damit ein Softwarepaket funktioniert. Abhängigkeiten können direkt oder transitiv sein, wobei letztere eine Art von Abhängigkeiten von Abhängigkeiten sind. Javascript-Repositories haben zum Beispiel im Durchschnitt 10 direkte Abhängigkeiten und 683 transitive Abhängigkeiten, so der GitHub-Bericht 2020 State of the Octo-verse.

Je allgegenwärtiger Open-Source-Software wird, desto größer ist das Potenzial, dass sie aufgrund von Abhängigkeiten von Open-Source-Software und deren Sicherheitslücken sowie aufgrund von unsachgemäßer Lizenzierung versteckte Risiken für Organisationen mit sich bringt. Diese Risiken sind Gegenstand eines neuen IDC-Berichts mit dem Titel „Addressing the Hidden Costs of Embedding Open Source Software“. Die Schwachstellen, die durch Open-Source-Abhängigkeiten entstehen, sind real, aber Ihre