Im zweiten Jahr in Folge arbeitete Sonatype mit den Forschern Gene Kim von IT Revolution und Dr. Stephen Magill, CEO von MuseDev, zusammen, um zu untersuchen, wie High-Performance-Teams hervorragende Ergebnisse beim Risikomanagement erzielen und gleichzeitig ein hohes Produktivitätsniveau aufrechterhalten können.
Der Bericht analysiert über 1,5 Billionen Download-Anfragen für Open Source, 24.000 Open Source-Projekte und 5.600 Entwicklungsteams in Unternehmen. Darüber hinaus wurden im Rahmen einer eingehenden Umfrage in einer Vielzahl von Unternehmen vier Arten von Software-Entwicklungsteams mit deutlich unterschiedlichen Leistungsniveaus in Bezug auf Verfahren des Software Supply Management und der Open Source Governance identifiziert.
- High-Performance-Teams: hohe Produktivität, hervorragende Ergebnisse beim Risikomanagement
- Security-First-Teams: geringe Produktivität, überzeugende Ergebnisse beim Risikomanagement
- Productivity-First-Teams: hohe Produktivität, mangelhafte Ergebnisse beim Risikomanagement
- Low-Performer-Teams: geringe Produktivität, mangelhafte Ergebnisse beim Risikomanagement
- eine 15-mal höhere Deployment-Frequenz
- eine 26-mal schnellere Erkennung und Behebung von Sicherheitslücken in OSS-Komponenten
- einen 5,7-mal geringeren Zeitaufwand, um nach einem Teamwechsel produktiv zu sein
- eine 1,5-mal höhere Wahrscheinlichkeit, dass Mitarbeiter ihr Unternehmen als einen ausgezeichneten Arbeitsplatz empfehlen
- 59 % höher, eine Software-Composition-Analysis-(SCA)-Tools einzusetzen
- 28 % höher, Governance-Richtlinien innerhalb der Continuous Integration (CI) durchzusetzen
- 56 % höher, eine zentral verwaltete CI-Infrastruktur zu haben
- 51 % höher, eine zentrale Erfassung der SBOMs (Software Bill of Materials) für Applikationen zu betreiben
Der Bericht analysiert außerdem 24.000 Open-Source-Projekte, um die Methoden der leistungsfähigsten Lieferanten zu ermitteln, die Komponenten in Software-Lieferketten einspeisen. Die Forscher konnten in vorbildlichen OSS-Projekten Folgendes nachweisen:
- eine 530-mal schnellere mittlere Zeit zur Aktualisierung (MTTU) von Abhängigkeiten
- 1,5-mal häufigere Versions-Veröffentlichungen
- eine 2,5-mal höhere Popularität
- eine 173-mal geringere Wahrscheinlichkeit, dass mindestens eine Abhängigkeit veraltet ist
"Es war wirklich spannend, so viele Beweise dafür zu finden, dass dieser vieldiskutierte Kompromiss zwischen Sicherheit und Produktivität in Wirklichkeit eine falsche Dichotomie ist. Mit der richtigen Kultur, den richtigen Arbeitsabläufen und den richtigen Tools können Entwicklungsteams großartige Ergebnisse in den Bereichen Sicherheit und Compliance erzielen und gleichzeitig eine erstklassige Produktivität erreichen", so Dr. Stephen Magill, Principal Scientist bei Galois & CEO von MuseDev.
Die Studie enthüllt auch neue Meilensteine bei der Entwicklung von Open-Source-Software, hinsichtlich der Aktivitäten von Kontrahenten und den Einfluss der Regierung:
- 430 % Anstieg der Next-Generation-Attacken auf Software-Supply-Chains im vergangenen Jahr (Seite 6)
- pro Unternehmen durchschnittlich 373.000 Downloads von Open-Source-Komponenten, von denen 8,3 % als gefährdet bekannt waren (Seite 32)
- Initiativen der US-amerikanischen, britischen und australischen Behörden, die die Software Supply Chains schützen und die Grundlagen von Open-Source untermauern sollen (Seite 34)
Der „2020 State of the Software Suppy Chain Report“ verbindet eine breite Palette öffentlicher und proprietärer Daten mit Expertenforschung und -analyse, um beispielhafte Verfahren der Softwareentwicklung zu identifizieren. Im sechsten Jahr seines Bestehens ist der Bericht die am längsten laufende Forschungsarbeit über die Entwicklung von Open-Source-Software und Verfahren zur Anwendungssicherheit ihrer Art.
Zusätzliche Ressourcen
- Lesen Sie den 2020 State of the Software Supply Chain Report
- Lesen Sie den Sonatype Blog
- Erstellen Sie kostenlos eine Software Bill of Materials
- Erfahren Sie mehr über die Software Supply Chain Automatisierungslösungen von Sonatype