Suche   Â
2017 State of the Software Supply Chain Report von Sonatype zeigt: DevOps-Praktiken reduzieren den Einsatz schadhafter Open-Source-Komponenten um 63 %
ID: 1511436
Durch die aktive Steuerung des Flusses von Open-Source-Komponenten verbessern Unternehmen die Qualität von Applikationen und die Produktivität der Entwickler
(PresseBox) - 07.2017 - Sonatype, einer der führenden Anbieter im Bereich Software Supply Chain Automation, veröffentlicht heute den dritten jährlichen Software-Supply-Chain-Statusbericht. Der diesjährige Bericht hebt Risiken hervor, die in Open-Source-Software-Komponenten lauern, und quantifiziert die empirischen Vorteile eines aktiven Managements in Bezug auf die Hygiene innerhalb der Software-Lieferkette.
Organisationen, die die Qualität von Open-Source-Komponenten, die in Produktionsanwendungen fließen, aktiv steuern, realisieren eine Steigerung der Produktivität der Entwickler um 28 Prozent, eine Reduzierung der Gesamtentwicklungskosten um 30 Prozent und eine Steigerung der Qualität von Applikationen um 48 Prozent. Darüber hinaus zeigt die Analyse von mehr als 17.000 Applikationen, dass bei Anwendungen, welche von Teams erstellt werden, die automatisierte Governance-Tools nutzen, der Anteil defekter Komponenten um 63 Prozent zurück ging.
Umgekehrt gilt, dass Unternehmen, die ihre Software-Lieferketten nicht verwalten, unwissentlich gefährdete Applikationen in Produktion gehen lassen, damit Tausende von Stunden für Nacharbeit und Bug-Fixes verschwenden und einem erhöhten Haftungsrisiko aufgrund grober Fahrlässigkeit gegenüberstehen.
Weitere wichtige Erkenntnisse aus dem "2017 Status of the Software Supply Chain Report":
Der Konsum von Open-Source-Komponenten wächst massiv
Im Verlauf des Jahres stieg die Zahl der Downloads von Java-Komponenten um 68 Prozent (52 Milliarden im Jahr 2016), JavaScript-Downloads stiegen um 262 Prozent (59 Milliarden im Jahr 2016) und die Nachfrage nach Docker-Komponenten wird voraussichtlich um 100 Prozent (12 Milliarden Downloads) wachsen.
Angesichts einer nahezu unendlichen Versorgung mit Open-Source-Komponenten nutzen hochfunktionelle DevOps-Organisationen Maschinenautomation, um die Qualität von Open-Source-Komponenten zu steuern, die durch ihre Software-Lieferketten fließen.
Die Hersteller von Open-Source-Komponenten agieren, was das Beheben von Schwachstellen angeht, immer noch langsam
Selbst wenn Schwachstellen bekannt sind, sind OSS-Projekte langsam bei deren Beseitigung - sofern sie dies überhaupt tun. Nur 15,8 Prozent der OSS-Projekte beheben aktiv Schwachstellen und selbst dann lag die mittlere Zeit dafür bei 233 Tagen.
Damit sind DevOps-Organisationen gefordert, aktiv zu steuern, mit welchen OSS-Projekten sie arbeiten und welche Komponenten sie letztlich einsetzen.
Die Anzahl der heruntergeladenen Komponenten mit bekannten Schwachstellen nimmt leicht ab
Im Jahr 2016 lag der Anteil der Java-Komponenten, die aus dem Central Repository heruntergeladen wurden und bekannte Sicherheitslücken enthielten, bei 5,5 Prozent (1 von 18), im Vergleich zu 6,1 Prozent im Vorjahr.
Obwohl dieser prozentuale Anteil an defekten Downloads noch lange nicht ideal ist, gibt es empirische Hinweise darauf, dass es Verbesserungen in Bezug auf die Hygiene gibt, denn dieser Anteil ist in jedem der letzten drei Jahre leicht zurückgegangen.
Die Regulierungslandschaft verändert sich rasch
Im vergangenen Jahr haben in den Vereinigten Staaten das Weiße Haus, vier Bundesbehörden und die Automobilindustrie neue Richtlinien zur Verbesserung der Qualität, des Schutzes und der Sicherheit von Software-Lieferketten veröffentlicht.
Unterstützende Zitate
Wayne Jackson, CEO, Sonatype
"Unternehmen bauen Software-Anwendungen nicht mehr von Grund auf neu, sie generieren sie so schnell es geht, indem sie unbegrenzt zur Verfügung stehende Open-Source-Komponenten einsetzen. Allerdings verlassen sich viele noch auf manuelle und zeitraubende Governance- und Sicherheitspraktiken, anstatt DevOps-native Automatisierung zu nutzen. Unsere Studie zeigt weiterhin, dass Entwicklungsteams, die vertrauenswürdige Software-Lieferketten betreiben, die Qualität und Produktivität drastisch verbessern. "
Mark Driver, Felix Gaehtgens, Mark O'Neill, Gartner, Bericht vom Mai 2017 "Managing Digital Trust in the Software Development Life Cycle"
"Bis 2020 werden 50 Prozent der Unternehmen Schaden erleiden, weil sie versäumt haben, das Vertrauen in ihre Software Development Lifecycles (SDLC) oder die ihrer Partner zu bedienen, was einen Umsatzverlust von mehr als 15 Prozent verursacht. Führungskräfte, die für die Modernisierung der Anwendungsentwicklung verantwortlich sind, sollten den SDLC in Form einer vertrauenswürdigen Software-Lieferkette mit unterschiedlichen Vertrauensstufen neu bewerten. "
Ãœber den ?State of the Software Supply Chain Report?
Der "2017 State of the Software Supply Chain Report" verbindet eine breite Palette öffentlicher und proprietärer Daten mit kompetenter Forschung und Analyse. Der diesjährige Bericht reicht über Java-Daten hinaus und schließt Erkenntnisse aus JavaScript-, NuGet-, Python- und Docker-Ökosystemen innerhalb von Software-Lieferketten ein.
Zusätzliche Ressourcen
Lesen Sie den "2017 Software Supply Chain Report"
Nehmen Sie am 20. Juli an unserem Webinar teil, um die Ergebnisse des Berichts zu beleuchten.
Lesen Sie den "2017 DevSecOps Community Survey Report"
Generieren Sie eine kostenlose Software-Materialliste
Erfahren Sie mehr über die Sonatype Software-Supply-Chain-Automatisierungslösungen
Folgen Sie Sonatype auf Twitter: (at)sonatype.
Sonatype ist der führende Anbieter von DevOps-nativen Tools zur Automatisierung moderner Software-Lieferketten. Als Entwickler von Apache Maven, des Central Repositorys und des Nexus Repositorys, hat Sonatype eine Komponenten-basierte Software-Entwicklung vorangetrieben und eine ereignisreiche Geschichte hinsichtlich der Unterstützung von Open-Source-Innovationen. Heute verlassen sich mehr als 120.000 Organisationen auf die Nexus-Plattform von Sonatype, um das Volumen, die Vielfalt und die Qualität von Open-Source-Komponenten in modernen Software-Anwendungen zu verwalten. Sonatype ist im Privatbesitz mit Kapitalbeteiligung von New Enterprise Associates (NEA), Accel Partners, Hummer Winblad Venture Partners, Morgenthaler Ventures, Bay Partners und Goldman Sachs. Erfahren Sie mehr unter www.sonatype.com
Sonatype ist der führende Anbieter von DevOps-nativen Tools zur Automatisierung moderner Software-Lieferketten. Als Entwickler von Apache Maven, des Central Repositorys und des Nexus Repositorys, hat Sonatype eine Komponenten-basierte Software-Entwicklung vorangetrieben und eine ereignisreiche Geschichte hinsichtlich der Unterstützung von Open-Source-Innovationen. Heute verlassen sich mehr als 120.000 Organisationen auf die Nexus-Plattform von Sonatype, um das Volumen, die Vielfalt und die Qualität von Open-Source-Komponenten in modernen Software-Anwendungen zu verwalten. Sonatype ist im Privatbesitz mit Kapitalbeteiligung von New Enterprise Associates (NEA), Accel Partners, Hummer Winblad Venture Partners, Morgenthaler Ventures, Bay Partners und Goldman Sachs. Erfahren Sie mehr unter www.sonatype.com
  
  
  
Datum: 17.07.2017 - 10:00 Uhr
Sprache: Deutsch
News-ID 1511436
Anzahl Zeichen: 7051
Kontakt-Informationen:
Stadt:
Fulton
Kategorie:
Softwareindustrie
Diese Pressemitteilung wurde bisher 0 mal aufgerufen.
Die Pressemitteilung mit dem Titel:
"2017 State of the Software Supply Chain Report von Sonatype zeigt: DevOps-Praktiken reduzieren den Einsatz schadhafter Open-Source-Komponenten um 63 %"
steht unter der journalistisch-redaktionellen Verantwortung von
SONATYPE Inc. (Nachricht senden)
Beachten Sie bitte die weiteren Informationen zum Haftungsauschluß (gemäß TMG - TeleMedianGesetz) und dem Datenschutz (gemäß der DSGVO).