Software Supply Chain: ระบบของคุณประกอบจากโค้ดของคนอื่นมากกว่าที่คิด

ซอฟต์แวร์สมัยใหม่ไม่ได้ถูกเขียนขึ้นทั้งหมด แต่ถูกประกอบขึ้น ระบบหนึ่งตัวมักมีชิ้นส่วนโอเพนซอร์สหลายร้อยชิ้นทำงานอยู่ข้างใน ตั้งแต่ตัวจัดการวันที่ไปจนถึงตัวเชื่อมฐานข้อมูล ซึ่งทีมของคุณไม่ได้เขียนและส่วนใหญ่ไม่เคยเปิดอ่าน นี่คือเหตุผลที่ซอฟต์แวร์ถูกและเร็วขึ้นมาก แต่ก็แปลว่าความปลอดภัยของระบบคุณผูกอยู่กับโค้ดของคนแปลกหน้านับร้อยคน เมื่อชิ้นส่วนยอดนิยมสักตัวมีช่องโหว่หรือถูกฝังโค้ดร้าย ระบบนับล้านทั่วโลกที่ใช้ชิ้นส่วนนั้นก็มีช่องโหว่เดียวกันพร้อมกันในคืนเดียว เหตุการณ์แบบนี้เกิดขึ้นแล้วหลายครั้งและจะเกิดอีก

จะป้องกันได้ ต้องรู้ก่อนว่ามีอะไรอยู่ข้างใน

เมื่อข่าวช่องโหว่ใหญ่ออก คำถามแรกของทุกองค์กรคือ เราโดนด้วยไหม และองค์กรส่วนใหญ่ตอบไม่ได้ เพราะไม่มีรายการว่าระบบตัวเองประกอบจากชิ้นส่วนอะไรบ้าง SBOM หรือ Software Bill of Materials คือรายการส่วนประกอบของซอฟต์แวร์ เหมือนฉลากส่วนผสมบนซองอาหาร ที่บอกว่าระบบใช้ชิ้นส่วนไหนเวอร์ชันใด เมื่อมีข่าวช่องโหว่ การตรวจว่าเราได้รับผลกระทบไหมจึงใช้เวลาเป็นนาทีแทนที่จะเป็นสัปดาห์ ควบคู่กันคือการใช้เครื่องมือสแกนชิ้นส่วนอัตโนมัติในกระบวนการพัฒนา ที่แจ้งเตือนเมื่อชิ้นส่วนที่ใช้อยู่มีช่องโหว่ใหม่ และนโยบายอัปเดตชิ้นส่วนสม่ำเสมอ ไม่ปล่อยให้เวอร์ชันเก่าค้างปี

• ขอ SBOM จากผู้พัฒนาระบบ ทั้งที่จ้างทำและที่ซื้อสำเร็จ
• ใช้เครื่องมือสแกนช่องโหว่ของชิ้นส่วนอัตโนมัติในทุกโปรเจกต์
• อัปเดตชิ้นส่วนสม่ำเสมอ ช่องโหว่ส่วนใหญ่ถูกเจาะหลังมีแพตช์แล้ว

ความเสี่ยงของห่วงโซ่อุปทานซอฟต์แวร์ไม่ใช่เหตุผลให้เลิกใช้โอเพนซอร์ส ซึ่งเป็นรากฐานของซอฟต์แวร์ทั้งโลกไปแล้ว แต่เป็นเหตุผลให้ปฏิบัติกับมันอย่างมืออาชีพ รู้ว่าใช้อะไร ตรวจสม่ำเสมอ และอัปเดตไว สำหรับผู้บริหาร คำถามเดียวที่วัดวุฒิภาวะของทีมหรือผู้รับจ้างได้ทันทีคือ ถ้าพรุ่งนี้มีข่าวช่องโหว่ใหญ่ เราใช้เวลานานแค่ไหนกว่าจะรู้ว่าตัวเองโดนไหม