Proposta de modelo de conformidade sobre as melhores práticas relativas à segurança de cadeias de suprimentos de software

Abstract

O processo atual de produção de softwares é composto pelos esforços de projeto e codificação das equipes de desenvolvimento, complementado pela reutilização intensiva de código elaborado por terceiros, sendo seu processo de implantação ou de publicação para consumo externo automatizado. Essa estrutura é conhecida como cadeia de suprimentos de softwares, que tem sido alvo de ataques cada vez mais frequentes e sofisticados. Boas práticas de segurança relativas ao tema têm sido publicadas, entretanto, sendo uma preocupação recente da indústria e da academia, ainda não há conjunto único de boas práticas reconhecido com padrão de fato. Assim, o trabalho tem por objetivo consolidar as melhores práticas acerca da segurança de cadeias de suprimentos de software e propor um modelo que reúna as recomendações dos principais frameworks voltados ao assunto, baseando-se no método utilizado pelo Center for Internet Security para a realização de comparações entre seus frameworks e outros frameworks semelhantes. Apresenta como principais contribuições uma comparação extensiva entre os principais frameworks voltados à segurança da cadeia de suprimentos de software, com detalhamento em nível de cada um dos controles de segurança recomendados, e seu próprio resultado final, um Modelo de Conformidade estruturado em torno dos pilares da cadeia de suprimentos de software, equivalentes ao código-fonte, dependências de terceiros, ambiente de compilação e ambiente de implantação ou distribuição. O modelo pode ser utilizado tanto para avaliar a conformidade atual dos controles de segurança adotados, como para subsidiar a elaboração de um plano de melhoria destinado a alcançar o nível de segurança desejado pela organização.