Les SBOM pour protéger votre organisation

INTRODUCTION : POURQUOI SBOMS ?

En 2020, SolarWinds a subi une violation massive avec l’injection de code malveillant dans une mise à jour de patch pour l’un de ses produits. En mars 2021, 18 000 organisations et entreprises avaient installé le correctif malveillant sur leurs systèmes SolarWinds, des entreprises du Fortune 500 au gouvernement américain. L’incident a révélé une vérité inconfortable : Les cybermenaces d'aujourd'hui sont devenues de plus en plus sophistiquées pour exploiter les chaînes d'approvisionnement logicielles afin de mener des attaques. Qu’elles soient menacées par des groupes criminels ou des groupes de renseignement, même les organisations qui déploient les meilleures pratiques en matière de cybersécurité sont confrontées à des cyber-risques croissants de la part de leurs fournisseurs infiltrés. Les menaces de la chaîne d’approvisionnement logicielle sont considérées comme un vecteur d’attaque majeur, car les acteurs malveillants introduisent des outils et des programmes malveillants dans les produits et services des fournisseurs à chaque niveau du cycle de développement, présentant de nouvelles considérations de menace pour les entreprises qui rendent obsolètes de nombreuses approches antérieures de la cyberdéfense. Une nomenclature logicielle, ou SBOM, est désormais considérée par les acteurs du cyber-industrie et le gouvernement fédéral comme une solution claire aux attaques croissantes de la chaîne d’approvisionnement logicielle.

Souvent comparées à une étiquette de faits nutritionnels pour les fournisseurs de logiciels, les SBOM permettent aux organisations d’obtenir une image claire des « ingrédients » des programmes et des applications sur lesquels elles comptent. Les SBOM protègent les entreprises et les applications grâce à la transparence ; les équipes de sécurité sont en mesure d’identifier les logiciels obsolètes, les outils de mauvaise qualité, les fournisseurs non fiables et d’autres problèmes potentiels au sein de leur logiciel d’entreprise grâce à un cadre qui identifie chaque composant de la chaîne d’approvisionnement logicielle. En permettant la transparence de leurs composants logiciels et de leurs fournisseurs, les SBOM aident les organisations à adopter une posture de sécurité Zero Trust.

En mai 2021, la Maison-Blanche a publié un décret sur la cybersécurité, plaidant en faveur des SBOM. Le décret stipule que « Un format SBOM lisible par machine et largement utilisé offre de plus grands avantages grâce à l'automatisation et à l'intégration d'outils. [...] Les SBOM gagnent en valeur lorsqu’elles sont stockées collectivement dans un référentiel qui peut être facilement interrogé par d’autres applications et systèmes. Comprendre la chaîne d’approvisionnement des logiciels, obtenir une SBOM et l’utiliser pour analyser les vulnérabilités connues est essentiel pour gérer les risques. » Les observateurs du secteur suggèrent que les futures directives fédérales peuvent exiger que de nombreuses organisations, quelle que soit leur présence dans les secteurs critiques, utilisent les SBOM dans le cadre de leur posture de sécurité.