Phần còn thiếu: Cách SBOM hỗ trợ tuân thủ PCI DSS 4.0

Các nhà phát triển thường xuyên sử dụng mã của bên thứ ba để xây dựng các ứng dụng của họ vì mục đích hiệu quả và tiết kiệm thời gian. Tuy nhiên, sự phụ thuộc vào các thành phần bên ngoài, đặc biệt là phần mềm nguồn mở (OSS), gây ra những rủi ro đáng kể, bao gồm các lỗ hổng và các vấn đề cấp phép. Theo khảo sát của GitHub năm 2023, 31% nhà phát triển coi việc tìm kiếm và sửa chữa các lỗ hổng bảo mật là nhiệm vụ quan trọng thứ hai của họ, ngay sau khi viết mã (32%). 

Do đó, nhiều tổ chức lo lắng về sự phụ thuộc của họ vào OSS vì nó thường xuyên là mục tiêu của tin tặc. Các tổ chức phải đối mặt với những thách thức với lỗ hổng gia tăng trên toàn chuỗi cung ứng phần mềm và với sự hiểu biết làm thế nào để giảm thiểu rủi ro một cách hiệu quả sau các cuộc tấn công cao cấp gần đây. 

Một báo cáo nghiên cứu của ESG cho thấy 91% các tổ chức đã trải qua sự cố chuỗi cung ứng phần mềm trong 12 tháng qua. Các sự cố phổ biến nhất bao gồm: 

Các quy định của SBOM ngày càng phổ biến. Nhiều chính phủ đã công bố các khuyến nghị liên quan đến việc thực hiện SBOM. Tại Hoa Kỳ, các khuyến nghị của SBOM được bao gồm trong một số hướng dẫn của chính phủ, bao gồm:

Nhận thức được những rủi ro ngày càng gia tăng đối với dữ liệu thẻ thanh toán, Tiêu chuẩn Bảo mật Dữ liệu Ngành Thẻ Thanh toán (PCI DSS) đã trở thành động lực thúc đẩy việc áp dụng SBOM. Phiên bản mới nhất, PCI DSS 4.0, yêu cầu sử dụng SBOM, nhấn mạnh vai trò quan trọng của chúng trong việc bảo vệ thông tin nhạy cảm. Bằng cách cung cấp danh mục chi tiết các thành phần phần mềm, SBOM cho phép các tổ chức chủ động xác định và xử lý các lỗ hổng, giảm thiểu rủi ro vi phạm dữ liệu tốn kém và tổn thất tài chính. 

Được thành lập vào năm 2004, PCI DSS là một tiêu chuẩn bảo mật toàn diện được thiết kế để bảo vệ thông tin thẻ tín dụng. Nó phác thảo một tập hợp các yêu cầu nghiêm ngặt đối với các doanh nghiệp xử lý các giao dịch thẻ tín dụng, phù hợp với khối lượng giao dịch được xử lý hàng năm. Bản phát hành PCI DSS v4.0 năm 2022 đã đưa ra những thay đổi đáng kể, bao gồm cả nhiệm vụ SBOM, để giải quyết các mối đe dọa đang phát triển. Việc tuân thủ PCI DSS v4.0 là bắt buộc vào tháng 4 năm 2024, với các yêu cầu cụ thể được thực hiện theo từng giai đoạn vào ngày 31 tháng 3 năm 2025. 

Yêu cầu SBOM trong PCI DSS v4.0 là một phần của những cải tiến rộng hơn được thực hiện cho PCI DSS trong lần lặp lại mới nhất của nó. Được giới thiệu như một phần của 64 yêu cầu mới được thêm vào trong phiên bản 4.0, yêu cầu SBOM đặc biệt giải quyết nhu cầu cho các tổ chức duy trì hàng tồn kho các thành phần phần mềm, đặc biệt tập trung vào phần mềm tùy chỉnh và tùy chỉnh.

Yêu cầu này được phân loại theo Yêu cầu PCI DSS 6 bắt buộc tạo và duy trì các hệ thống và ứng dụng an toàn thông qua việc thực hiện các biện pháp bảo mật mạnh mẽ và thực hiện thường xuyên các đánh giá và cập nhật lỗ hổng. Yêu cầu này rất cần thiết để giảm thiểu rủi ro do lỗ hổng phần mềm gây ra và bảo vệ dữ liệu chủ thẻ. Phần 6 bao gồm năm lĩnh vực chính: 

• 6.1 Các quy trình và cơ chế để phát triển và duy trì các hệ thống và phần mềm an toàn được xác định và hiểu.
• 6.2 Phần mềm Bespoke và tùy chỉnh được phát triển an toàn.
• 6.3 Các lỗ hổng bảo mật được xác định và giải quyết.
• 6.4 Các ứng dụng web công khai được bảo vệ chống lại các cuộc tấn công.
• 6.5 Các thay đổi đối với tất cả các thành phần hệ thống được quản lý an toàn.

Các quy định ngày càng kêu gọi SBOM đảm bảo an ninh chuỗi cung ứng phần mềm. Tuy nhiên, các tổ chức đang phải vật lộn để xây dựng hàng tồn kho chính xác về thành phần mã phần mềm của họ.

OPSWAT SBOM tự động hóa việc tạo SBOM cho cả mã và container, tăng cường bảo mật và hỗ trợ tuân thủ trong chuỗi cung ứng phần mềm.