SecureChain para software de código aberto

Pontos principais: Uma dependência transitiva é um pacote que você instala porque algo do qual você depende precisa dele. Um único pacote do npm pode acionar centenas de dependências transitivas, cada uma capaz de...

Pontos-chave: A CRA, o FedRAMP, a NIS 2 e o PCI DSS fazem as mesmas duas perguntas sobre seus componentes de código aberto: o que você distribui e o que acontece quando uma vulnerabilidade é...

Pontos-chave: De acordo com as regras do FedRAMP de 2026, os prazos recomendados para correção variam de 12 horas a 192 dias, contados a partir da avaliação da vulnerabilidade pelo provedor. Os novos candidatos devem seguir as regras do FedRAMP de 2026...

Pontos principais: O Artigo 21 da NIS2 estabelece a segurança da cadeia de suprimentos como uma medida mínima e exige que as entidades avaliem as vulnerabilidades de cada fornecedor direto. A ENISA, agência de segurança cibernética da UE, afirma em seu documento não vinculativo sobre hospitais...

Pontos-chave: Na ausência de uma avaliação independente, o CEO ou um funcionário designado e autorizado a representar a empresa assina o formulário. O signatário atesta, de acordo com o que lhe é do conhecimento, que...

Pontos-chave: O manual do Programa Federal de Gestão de Riscos e Autorizações (FedRAMP), Revisão 5 (Rev5), exige que os prestadores enviem mensalmente um plano de ação atualizado e marcos de referência. As Regras Consolidadas do FedRAMP para...

Pontos-chave: A Estrutura de Desenvolvimento Seguro de Software (SSDF) do NIST (Instituto Nacional de Padrões e Tecnologia) recomenda que você verifique constantemente os componentes de terceiros, incluindo os de código aberto, em relação aos seus próprios requisitos....

Pontos-chave: Uma declaração do Vulnerability Exploitability eXchange (VEX) atribui um status a uma vulnerabilidade em um ou mais produtos. Uma declaração do VEX representa a afirmação de seu autor; portanto, um auditor verifica...

Pontos principais: O registro de informações da DORA lista contratos de serviços de tecnologia prestados de forma contínua; portanto, uma biblioteca baixada sem contrato geralmente não consta nesse registro. Requisitos técnicos obrigatórios...

Pontos principais: Desde 13 de julho de 2026, as licitações do setor de defesa podem exigir apenas autoavaliações de Nível 1 ou Nível 2, enquanto a Fase 2 permanece suspensa. Nenhum dos 110 requisitos de Nível 2 menciona...

Pontos-chave: De acordo com a Lei de Resiliência Cibernética, você deve lidar com as vulnerabilidades do seu produto, incluindo aquelas presentes em suas dependências, por pelo menos cinco anos, a menos que se preveja que...