بررسیِ تخصصیِ بند 8 — قرارداد تأمین امنیت زنجیره تأمین نرم‌افزار

تعهدات ارائه‌دهنده خدمات — حداقل شامل: • تولید SBOM کامل، صحیح و قابل ماشین‌خوانی در هر انتشار و در صورت تغییر lockfile؛ • صحت‌سنجی hash و امضا، pinning وابستگی‌ها، منع استفاده از تگ شناور بدون کنترل؛ • پایش آسیب‌پذیری و بدافزار، تشخیص بسته‌های حذف‌شده/hijackشده/حساب maintainer تسخیرشده؛ • کنترل ضد dependency confusion (scopeهای خصوصی، تأیید registry)؛ • جداسازی خط ساخت، مدیریت اسرار، منع اسرار در مخزن؛ • مستندسازی تأمین‌کنندگان چهارم (fourth-party) در حد اطلاعات در دسترس؛ • اطلاع‌رسانی فوری حادثه و همکاری در مهار؛ • عدم معرفی عامدانه درب پشتی؛ تعهد به کارکنان و پیمانکاران فرعی.