오픈 소스 소프트웨어를 위한 SecureChain

주요 내용: 전이적 종속성이란, 자신이 의존하는 패키지가 필요로 하기 때문에 함께 설치되는 패키지를 말합니다. 하나의 npm 패키지가 수백 개의 전이적 종속성을 끌어들일 수 있으며, 각 종속성은...

주요 요점: CRA, FedRAMP, NIS 2 및 PCI DSS는 오픈 소스 구성 요소에 대해 다음과 같은 두 가지 동일한 질문을 제기합니다. 즉, 무엇을 배포하는지, 그리고 취약점이 발견되면 어떻게 되는지...

주요 내용: FedRAMP의 2026년 규정에 따르면, 권장되는 시정 기간은 공급자가 취약점을 평가한 시점부터 계산하여 12시간에서 192일까지입니다. 신규 신청자는 FedRAMP의 2026년 규정을 준수해야 합니다...

주요 내용: NIS2 제21조는 공급망 보안을 필수 조치로 규정하고 있으며, 각 기관이 직접 공급업체별 취약점을 평가하도록 하고 있습니다. EU 사이버보안 기관인 ENISA는 구속력이 없는 병원 관련 지침에서...

주요 내용: 제3자 평가가 없는 경우, CEO 또는 회사를 대표할 권한이 있는 직원이 양식에 서명합니다. 서명자는 자신이 아는 한 다음과 같이 진술합니다...

주요 내용: 연방 위험 및 승인 관리 프로그램(FedRAMP) 개정판 5(Rev5) 플레이북에 따르면, 서비스 제공업체는 매월 업데이트된 실행 계획과 주요 일정을 업로드해야 합니다. FedRAMP의 통합 규칙에 따르면...

주요 내용: NIST(미국 국립표준기술연구소)의 보안 소프트웨어 개발 프레임워크(SSDF)는 오픈 소스 구성 요소를 포함한 타사 구성 요소에 대해 자체 요구 사항을 기준으로 지속적으로 검증할 것을 요구합니다....

주요 요점: VEX(Vulnerability Exploitable eXchange) 성명은 하나 이상의 제품에 걸쳐 하나의 취약점에 대한 단일 상태를 제시합니다. VEX 성명은 작성자의 주장에 해당하므로, 감사관은 다음 사항을 확인합니다...

주요 요점: DORA의 정보 등록부에는 지속적으로 제공되는 기술 서비스 계약이 등재되어 있으므로, 계약 없이 다운로드한 라이브러리는 대개 여기에 포함되지 않습니다. 구속력 있는 기술...

주요 내용: 2026년 7월 13일부터 국방 분야 입찰 공고에서는 2단계가 계속 중단된 상태인 만큼, 레벨 1 또는 레벨 2 자체 평가만을 요구할 수 있습니다. 110개의 레벨 2 요구 사항 중 어느 것도...

주요 내용: ‘사이버 복원력법’에 따라, 귀사는 제품의 의존성 구성 요소에 포함된 취약점을 포함하여 제품 내 취약점을 최소 5년 동안 관리해야 합니다. 단, 다음의 경우를 제외하고는...