I siti moderni importano un grafico di pacchetti che possono cambiare silenziosamente tra le build. I team spesso eseguono un linter e spediscono, per poi venire a conoscenza di un avviso critico da un cliente o da uno scanner settimane dopo.
Tratta il rischio di dipendenza come il rischio del prodotto: blocca le fusioni di avvisi di elevata gravità con exploit noti, richiedi revisioni del file di blocco per i problemi più importanti e blocca i pacchetti interni. Aggiungi l'esportazione SBOM per rilascio in modo che la sicurezza possa tracciare ciò che è stato spedito, non ciò che gli sviluppatori pensano che sia stato spedito.
Abbina l'automazione alla proprietà. Nominare un manutentore predefinito per gli aggiornamenti di terze parti, documentare le eccezioni consentite e farle scadere. Una politica breve e supponente batte un perfetto diagramma di zero trust che nessuno segue.