Durchschnittlich kommt es alle 32.873 Codezeilen zu einem Compliance-Risiko
München, 13. Februar 2019 – Flexera, Anbieter von Lösungen für Softwarelizenzierung, IT-Security und Installation, hat den neuen ” State of Open Source License Compliance” Report veröffentlicht. Der Sicherheitsreport zeigt: Während der Anteil von Open Source Software (OSS) zunimmt, sind Unternehmen oft nicht in der Lage die damit verbundenen Lizenz- und Compliance-Verpflichtungen zu erfüllen. Fehlt es jedoch am Management steigt das Risiko – sowohl für die IT-Sicherheit als auch auf finanzieller und rechtlicher Seite.
Für den Report analysierte Flexera Daten aus insgesamt 134 Audits, bei denen der Umfang der Nutzung von Open Source in Unternehmen bis auf Codeebene erfasst wurde. Die Audit-Teams prüften die identifizierten OSS-Komponenten sowohl auf bekannte Schwachstellen als auch auf die Einhaltung der Compliance-Vorgaben. Die wichtigsten Ergebnisse des Open Source-Reports im Überblick:
– Pro Audit konnte Flexera durchschnittlich 367 kritische Fälle aufdecken. Die große Mehrheit (98%) war den Unternehmen vor Beginn des Audits nicht bekannt.
– Rund 16% der Treffer wurden als kritische Compliance-Risiken (Prioritätsstufe 1) eingestuft und erforderten sofortige Gegenmaßnahmen. Dazu gehören u.a. schwere Verstöße gegen Copyleft-Lizenzen, die APGL und GPL betreffen. Weitere 10% der entdeckten OSS-Fälle fielen unter Prioritätsstufe 2 (z. B. sekundäre Probleme mit kommerziellen Lizenzen). 71% der Ergebnisse entsprachen der Prioritätsstufe 3, darunter risikoarme Probleme im Zusammenhang mit permissiven Lizenzen von BSD, Apache oder MIT.
– Durchschnittlich stießen die Flexera-Analysten alle 32.873 Codezeilen auf ein Compliance-Risiko, eine Schwachstelle oder Ähnliches. Diese Trefferquote erscheint zwar auf den ersten Blick relativ klein. Berücksichtigt man jedoch die tatsächliche enorme Anzahl an Code, aus denen sich Softwareprodukte zusammensetzen, verändert sich das Bild. So umfasst beispielsweise die Software in modernen Autos durchschnittlich 80-100 Millionen Codezeilen pro Fahrzeug.
– Im Zuge der Auswertung verglich Flexera die Ergebnisse von forensischen Audits im Rahmen von Übernahmen und Fusionen mit weniger tiefgreifenden Baseline-Audits. Das Ergebnis: Bei M&A Audits konnten die Analysten 30% mehr OSS-kritische Fälle der Prioritätsstufe 1 identifizieren. Bei Vorfällen der Prioritätsstufe 2 und 3 waren es sogar 224% bzw. 245% mehr. Insgesamt lieferten Forensic Audits damit doppelt so viele Ergebnisse wie eine oberflächliche Überprüfung auf Open Source.
“Mit dem Trend zu immer schnelleren und agileren Entwicklungsprozessen, werden Compliance- und Sicherheitsfragen beim Einsatz von Open Source oft nicht ausreichend beleuchtet. Das trifft vor allem dann ein, wenn das Unternehmen keine klaren Richtlinien zur Nutzung und Erfassung von OSS vorgibt. Viele Unternehmen verlassen sich auf eine oberflächliche Analyse der verwendeten Komponenten. So bleiben viele Details wie z.B. Snippets, die über Copy und Paste in den Code gelangen verborgen”, erklärt Nicole Segerer, Head of IoT DACH bei Flexera. “Zudem gilt es, die gesamte Software Supply Chain im Auge zu behalten. Open-Source-Code stammt in den meisten Fällen aus unterschiedlichen Quellen wie Containern, Build-Dependencies oder Binärdateien. Es geht also nicht nur darum, den eigenen, intern entwickelten Code zu kennen, sondern auch zu wissen, was über externe Partner und Drittanbieter hinzufügt wurde.”
Um Compliance-Verpflichtungen einzuhalten und Sicherheitsrisiken von Software-Schwachstellen zu minimieren, ist Unternehmen daher dringend zu raten, klar definierte Richtlinien und Prozesse für die Dokumentation von Open Source einzuführen. Die Implementierung eines formalen Prozesses umfasst unter anderem:
– Interne Richtlinien zum Umgang von Open Source Software
– Stakeholder-Trainingsmaßnahmen zur Schärfung des Sicherheitsbewusstseins
– Automatisierte Software Monitoring- und Scanning-Tools (z. B. Software Composition Analysis)
– Aufbau eines Lieferantenprogramms zur besseren Verwaltung der Anforderungen Dritter
– Gründung eines Open Source Review Board (OSRB)
Den vollständigen ” Report State of Open Source License Compliance” von Flexera finden Sie hier. Die Infographik steht ebenso zum Download bereit.
Über Flexera
Flexera bietet innovative Lösungen, um Software zu kaufen, zu verkaufen, zu managen und sicherer zu machen. Dabei betrachtet Flexera die Softwareindustrie als eine Supply Chain und versetzt seine Kunden in die Lage, ihren Einkauf und Verkauf von Software sowie das Management von IT-Unternehmensdaten profitabler, zuverlässiger und effektiver zu gestalten. Mit Softwareanwendungen für Monetarisierung und Sicherheit unterstützt Flexera Softwareanbieter, ihre Geschäftsmodelle zu verändern, wiederkehrende Umsätze zu steigern und Open-Source-Risiken zu minimieren. Unternehmen, die Software und Cloud-Services kaufen, garantiert Flexera mit Lösungen für Schwachstellenmanagement (Vulnerability Management) sowie Software Asset Management (SAM) ein effizientes und planbares IT-Procurement. So kaufen Unternehmen nur das, was sie tatsächlich brauchen, managen die IT-Assets, die sie tatsächlich besitzen und vermeiden Compliance-Verstöße und Sicherheitsrisiken. Die Lösungen sowie die komplette Softwarelieferkette greifen dabei auf das von Flexera aufgebaute und weltweit größte Repository an Marktinformationen und IT-Asset-Daten zurück. Mit mehr als 30 Jahre Erfahrung und über 1.200 hoch engagierten Mitarbeitern hilft Flexera über 80.000 Kunden, jedes Jahr einen ROI in Millionenhöhe zu generieren. Weitere Informationen unter www.flexera.de
Firmenkontakt
Flexera
Nicole Segerer
Mies-van-der-Rohe-Str. 8
80807 München
089 417761-13
munich@flexerasoftware.com
http://www.flexera.com
Pressekontakt
Lucy Turpin Communications
Birgit Fuchs-Laine
Prinzregentenstraße 89
81675 München
089 417761-13
flexera@LucyTurpin.com
http://www.lucyturpin.com