Neue Initiative soll die Sicherheit von Open-Source-Software am Ende ihres Lebenszyklus verbessern

Eine neue Initiative soll Unternehmen dabei unterstützen, Open-Source-Software, die das Ende ihres Lebenszyklus erreicht hat, besser zu verwalten. Im Mittelpunkt stehen die Verringerung von Sicherheitsrisiken und die Erfüllung von Compliance-Anforderungen. Die Open Source Sustainability Initiative soll Unternehmen klarere Möglichkeiten an die Hand geben, mit Projekten umzugehen, die nicht mehr aktiv gepflegt werden, aber möglicherweise noch in kritischen Systemen eingebunden sind.

Mit zunehmendem Alter von Open-Source-Komponenten kann es schwieriger werden, diese abzusichern. Unternehmen verwenden sie möglicherweise weiterhin aufgrund von Kompatibilitätsanforderungen, betrieblicher Abhängigkeiten oder der Kosten eines Austauschs. Dadurch können Sicherheitsteams für Software verantwortlich sein, die keine regelmäßigen Updates, Patches oder Unterstützung durch die Upstream-Community mehr erhält.

Die Initiative soll diese Lücke schließen, indem sie Unternehmen dabei unterstützt, veraltete Open-Source-Pakete zu identifizieren und sicherer zu verwalten. Außerdem soll sie Organisationen unterstützen, die regulatorische Anforderungen erfüllen müssen, da die weitere Nutzung nicht unterstützter Software Compliance-Herausforderungen verursachen kann.

Warum die Initiative wichtig ist

• Software am Ende ihres Lebenszyklus kann Systeme bekannten Schwachstellen aussetzen, wenn keine Fehlerbehebungen verfügbar sind.
• Unternehmen verfügen möglicherweise über keinen klaren Prozess, um nicht unterstützte Abhängigkeiten anwendungsübergreifend zu verfolgen.
• Compliance-Programme verlangen zunehmend eine bessere Transparenz hinsichtlich der Risiken in der Software-Lieferkette.
• Ein Austausch ist nicht immer sofort möglich, insbesondere in Legacy-Umgebungen.

Indem die Initiative den Fokus auf Nachhaltigkeit und Governance legt, spiegelt sie einen breiteren Trend in der Cybersicherheit wider: Die Pflege von Open-Source-Software wird als fortlaufende betriebliche Aufgabe betrachtet und nicht als einmalige Beschaffungsentscheidung. Für viele Unternehmen besteht die Herausforderung nicht nur darin, ob ein Paket nützlich ist, sondern auch darin, ob ihm im Produktivbetrieb weiterhin vertraut werden kann.

Die Arbeit der Gruppe könnte Unternehmen dabei helfen, Richtlinien für die Überwachung alternder Projekte zu entwickeln, Migrationen zu planen und die Gefährdung während laufender Übergänge zu reduzieren. Für Sicherheitsteams könnte dies eine bessere Übersicht darüber bedeuten, welche Komponenten dringend Aufmerksamkeit erfordern und welche bis zur Verfügbarkeit von Ersatzlösungen durch kompensierende Kontrollen verwaltet werden können.