“Quanto às três lacunas, depende um pouco do escopo do seu esforço de segurança da cadeia de suprimentos de software. Por exemplo, eles (os pesquisadores) não consideram ‘software de código aberto’ um fornecedor, pois não há relacionamento contratual. Acho que não há um relacionamento contratualmente diferente de um software comercial. é onde eles estão indo com esse controle). ”
As ferramentas de varredura ambiental, outra mitigação ausente, geralmente fazem parte do gerenciamento de vulnerabilidades, acrescentou Ullrich. Mas, ele disse, às vezes outras atividades podem preencher a lacuna. Por exemplo, a ‘parceria de resposta’ geralmente faz parte da estrutura de resposta a incidentes, e a colaboração geralmente também faz parte da inteligência de ameaças.
“Você sempre pode encontrar lacunas nas estruturas se estender o uso deles além do que elas são originalmente projetadas para fazer”, concluiu, “e novamente, elas precisam ser atualizadas consistentemente”.
