Moderne Websites importieren ein Paketdiagramm, das sich zwischen den Builds unbemerkt ändern kann. Teams führen häufig einen Linter-and-Shipping-Vorgang durch und erfahren dann Wochen später von einem Kunden oder einem Scanner eine kritische Empfehlung.
Behandeln Sie das Abhängigkeitsrisiko wie das Produktrisiko: Blockieren Sie Zusammenführungen bei hochgradig schwerwiegenden Sicherheitshinweisen mit bekannten Exploits, fordern Sie Sperrdateiüberprüfungen bei größeren Sicherheitslücken und heften Sie interne Pakete an. Fügen Sie den SBOM-Export pro Release hinzu, damit die Sicherheit verfolgen kann, was versendet wurde – und nicht, was Entwickler glauben, versendet zu haben.
Kombinieren Sie Automatisierung mit Eigenverantwortung. Benennen Sie einen Standardbetreuer für Drittanbieter-Upgrades, dokumentieren Sie zulässige Ausnahmen und lassen Sie diese ablaufen. Eine kurze, eigensinnige Politik übertrifft ein perfektes Zero-Trust-Diagramm, dem niemand folgt.