Mit Sammlungen den Überblick behalten
Sie können Inhalte basierend auf Ihren Einstellungen speichern und kategorisieren.
In dieser Dokumentation geht es hauptsächlich um Best Practices, die den Schutz Ihrer Software über alle Prozesse und Systeme in Ihrer Softwarelieferkette hinweg unterstützen. Außerdem finden Sie Informationen dazu, wie Sie einige der Praktiken aufGoogle Cloudimplementieren.
Es gibt zusätzliche Aspekte zum Schutz Ihrer Software, die den gesamten Softwarelebenszyklus umfassen oder grundlegende Entwicklungspraktiken sind, die die Sicherheit der Softwarelieferkette unterstützen. Beispiel:
Kontrolle des physischen und Remotezugriffs auf Systeme.
Implementieren Sie Prüf-, Überwachungs- und Feedbackmechanismen, damit Sie Bedrohungen und Verstöße gegen Richtlinien schnell erkennen und darauf reagieren können.
Grundlegende Programmierpraktiken wie Design, Eingabevalidierung, Ausgabe an nicht vertrauenswürdige Systeme, Datenverarbeitung, Codeanalyse und Kryptografie.
Weitere grundlegende DevOps-Praktiken, die nicht in dieser Dokumentation erwähnt werden, einschließlich technischer Ansätze, Teamprozesse und Organisationskultur.
Einhaltung der Bedingungen von Softwarelizenzen, einschließlich Open-Source-Lizenzen für direkte und transitive Abhängigkeiten.
Einige Open-Source-Lizenzen haben restriktive Lizenzbedingungen, die für kommerzielle Software problematisch sind. Insbesondere müssen Sie bei einigen Lizenzen Ihren Quellcode unter derselben Lizenz veröffentlichen wie die Open-Source-Software, die Sie wiederverwenden. Wenn Sie Ihren Quellcode vertraulich halten möchten, ist es wichtig, die Lizenzbedingungen der von Ihnen verwendeten Open-Source-Software zu kennen.
Sensibilisierung für Cybersicherheit durch Schulungen für Mitarbeiter.
Laut der Umfrage „State of Cybersecurity 2021, Part 2“, einer Umfrage unter Experten für Informationssicherheit, war Social Engineering die häufigste Art von Angriff. Die Umfrageteilnehmer gaben außerdem an, dass Schulungen und Sensibilisierungsprogramme für die Cybersicherheit die Mitarbeiter in gewissem Maße (46%) oder stark (32%) für das Thema sensibilisiert haben.
In den folgenden Abschnitten finden Sie weitere Informationen zu diesen Themen.
Sie können zentralisierte Informationen zu Sicherheitslücken und möglichen Risiken mithilfe der folgenden Google Cloud Dienste abrufen:
Im Security Command Center finden Sie Informationen zu Sicherheitslücken und Bedrohungen in Ihrer Google Cloud
Organisation.
Mit Recommender erhalten Sie Informationen zur Nutzung Ihrer Dienste, einschließlich Empfehlungen, mit denen Sie das Risiko reduzieren können. So können Sie beispielsweise IAM-Hauptkonten mit zu vielen Berechtigungen oder unbeaufsichtigte Google Cloud -Projekte ermitteln.
In der Dokumentation zu DevOps-Ressourcen erfahren Sie mehr über DevOps-Praktiken, die zu einer schnelleren Softwarebereitstellung und zuverlässigerer und sichererer Software beitragen.
Es gibt auch grundlegende Praktiken zum Entwerfen, Entwickeln und Testen von Code, die für alle Programmiersprachen gelten. Außerdem müssen Sie prüfen, wie Sie Software vertreiben und welche Bedingungen für Softwarelizenzen in allen Ihren Abhängigkeiten gelten. Die Linux Foundation bietet kostenlose Onlineschulungen zu folgenden Themen an:
Entwicklung sicherer Software: Grundlegende Praktiken der Softwareentwicklung im Kontext der Sicherheit der Softwarelieferkette. Der Kurs konzentriert sich auf Best Practices für das Entwerfen, Entwickeln und Testen von Code, deckt aber auch Themen wie den Umgang mit Offenlegungen von Sicherheitslücken, Assurance-Fälle und Aspekte der Softwareverteilung und -bereitstellung ab.
Die Open Source Security Foundation (OpenSSF) hat das Training entwickelt.
Dokumentieren Sie die Richtlinien für Ihre Organisation, während Sie Best Practices schrittweise implementieren, und integrieren Sie die Validierung von Richtlinien in Ihre Entwicklungs-, Build- und Bereitstellungsprozesse. Ihre Unternehmensrichtlinien können beispielsweise Kriterien für die Bereitstellung enthalten, die Sie mit der Binärautorisierung implementieren.
Minimum Viable Secure Product: Eine Sicherheitscheckliste mit Steuerelementen, um einen grundlegenden Sicherheitsstatus für ein Produkt festzulegen. Mit der Checkliste können Sie Ihre Mindestanforderungen an die Sicherheitskontrolle festlegen und Software von Drittanbietern bewerten.
[[["Leicht verständlich","easyToUnderstand","thumb-up"],["Mein Problem wurde gelöst","solvedMyProblem","thumb-up"],["Sonstiges","otherUp","thumb-up"]],[["Schwer verständlich","hardToUnderstand","thumb-down"],["Informationen oder Beispielcode falsch","incorrectInformationOrSampleCode","thumb-down"],["Benötigte Informationen/Beispiele nicht gefunden","missingTheInformationSamplesINeed","thumb-down"],["Problem mit der Übersetzung","translationIssue","thumb-down"],["Sonstiges","otherDown","thumb-down"]],["Zuletzt aktualisiert: 2025-08-18 (UTC)."],[],[],null,["# Protect your software supply chain\n\nThis documentation focuses primarily on best practices that support protecting\nyour software across processes and systems in your software supply chain. It\nalso includes information about how to implement some of the practices on\nGoogle Cloud.\n\n- [Safeguarding source integrity](/software-supply-chain-security/docs/safeguard-source)\n- [Safeguarding build integrity](/software-supply-chain-security/docs/safeguard-builds)\n- [Managing dependencies](/software-supply-chain-security/docs/dependencies)\n- [Safeguarding deployments](/software-supply-chain-security/docs/safeguard-deploys)\n\nThere are additional considerations for protecting your software that span the\nsoftware lifecycle or are foundational development practices that support\nsoftware supply chain security. For example:\n\n- Controlling physical and remote access to systems.\n- Implementing audit, monitoring, and feedback mechanisms so that you are able to quickly identify and respond to threats and non-compliance with policy.\n- Foundational coding practices including design, input validation, output to untrusted systems, data processing, code analysis, and cryptography.\n- Foundational DevOps practices beyond ones mentioned in this documentation, including technical approaches, team process, and organizational culture.\n- Adherence to software licenses terms, including open source licenses for\n direct and transitive dependencies.\n\n Some open source licenses have restrictive license terms that are problematic\n for commercial software. In particular, some licenses require you to release\n your source code under the same license as the open source software that you\n are reusing. If you want to keep your source code private, it's important\n to know the licenses terms of open source software you use.\n- Increasing awareness about cybersecurity by providing training to employees.\n According the [State of Cybersecurity 2021, Part 2](https://www.isaca.org/state-of-cybersecurity-2021), a survey of\n information security professionals, social engineering was the most frequent\n type of attack. Survey respondants also reported that cybersecurity training\n and awareness programs had some positive impact (46%) or strong positive\n impact (32%) on employee awareness.\n\nUse the resources in the following sections to learn more about these topics.\n\nSecurity on Google Cloud\n------------------------\n\nLearn about setting up organization structure, authentication and authorization,\nresource hierarchy, networking, logging, detective controls, and more in the\n[Google Cloud enterprise foundations blueprint](/architecture/security-foundations), one of\nthe guides in the\n[Google Cloud security best practices center](/security/best-practices).\n\nYou can view centralized information about vulnerabilities and possible\nrisks using these Google Cloud services:\n\n- View information about vulnerabilities and threats across your Google Cloud organization with [Security Command Center](/security-command-center/docs/security-command-center-overview).\n- Get information about your service usage with [Recommender](/recommender/docs/overview), including recommendations that can help you to reduce risk. For example, you can identify IAM principals with excess permissions or unattended Google Cloud projects.\n\nTo learn more about security on Google Cloud, see the\n[Security section of the Google Cloud web site](/security).\n\nDevOps and software development practices\n-----------------------------------------\n\nSee the [DevOps capabilities](https://dora.dev/devops-capabilities/)\ndocumentation to learn more about DevOps practices that contribute to faster\nsoftware delivery and more reliable and secure software.\n\nThere are also foundational practices for designing, developing, and testing\ncode that apply to all programming languages. You also need to evaluate how\nyou distribute software and the terms of software licenses in all of your\ndependencies. The Linux Foundation offers free online training on these topics:\n\n- [Developing Secure Software](https://training.linuxfoundation.org/training/developing-secure-software-lfd121/): Foundational software development practices in the context of software supply chain security. The course focuses on best practices for designing, developing, and testing code, but also covers topics such as handling vulnerability disclosures, assurance cases, and considerations for software distribution and deployment. The [Open Source Security Foundation](https://openssf.org/) (OpenSSF) created the training.\n- [Open Source Licensing Basics for Developers](https://training.linuxfoundation.org/training/open-source-licensing-basics-for-software-developers/) Learn about licenses and copyright for open source projects.\n- [Introduction to Open Source License Compliance Management](https://training.linuxfoundation.org/training/introduction-to-open-source-license-compliance-management-lfc193/) Learn about building an open source compliance program for your organization.\n\nDeveloping your policies\n------------------------\n\nAs you incrementally implement best practices, document the policies for your\norganization and incorporate validation of policies into your development,\nbuild, and deployment processes. For example, your company policies might\ninclude criteria for deployment that you implement with [Binary Authorization](/binary-authorization/docs/overview).\n\n- [Minimum Viable Secure Product](https://mvsp.dev), a security checklist of controls to establish a baseline security posture for a product. You can use the checklist to establish your minimum security control requirements and to evaluate software by third-party vendors.\n- NIST [Security and Privacy Controls for Information Systems and Organizations](https://csrc.nist.gov/publications/detail/sp/800-53/rev-5/final) publication (SP 800-53)."]]
