يتألف التطبيق المؤسسي النمطي اليوم بشكل رئيسي من تبعيات مفتوحة المصدر وأطراف ثالثة، بينما تمثل شيفرة المؤسسة نفسها جزءاً صغيراً مما يعمل فعلياً في الإنتاج. أظهرت اختراقات بارزة لحزم واسعة الاستخدام أن تبعية واحدة مسمومة، على عمق عدة طبقات في شجرة التبعيات، يمكن أن تُخترق آلاف التطبيقات النهائية في آنٍ واحد.
بناء قائمة مكونات قبل الحاجة إليها
تُعدّ قائمة مكونات البرمجيات—جرد كامل لكل مكون وإصداره ومصدره—شرطاً مسبقاً للاستجابة السريعة عند الكشف عن ثغرة جديدة في مكتبة واسعة الاستخدام. ينبغي أن يعمل فحص التبعيات باستمرار في خط الأنابيب، لا كتدقيق دوري.
يُقلّل تثبيت إصدارات التبعيات، والتحقق من توقيعات الحزم، وتقييد السجلات التي يمكن لأنظمة البناء السحب منها، من فرصة وصول اختراق سلسلة التوريد إلى الإنتاج دون اكتشاف.
تساعد JIG منظمات الهندسة على بناء برامج أمن سلسلة توريد البرمجيات.