A integridade da cadeia de suprimento de software está se tornando uma preocupação mais proeminente na gestão de riscos corporativos. A mudança ocorre à medida que o desenvolvimento assistido por IA se expande e as cadeias de suprimento de software ganham mais camadas, levando líderes empresariais a se perguntar se conseguem explicar com segurança o software que desenvolvem, compram e implantam.

Por que a transparência da cadeia de suprimento de software é difícil de alcançar?

Aaron Branson, diretor de crescimento da FossID, empresa de análise de composição de software especializada em inteligência de código-fonte, afirma que essa questão começa pela visibilidade sobre o código. As organizações frequentemente sabem com quais fornecedores trabalham e quais produtos compram. Saber exatamente o que esses produtos contêm exige mais trabalho.

“As organizações podem saber com quais fornecedores se relacionam e quais produtos de software adquirem, mas estabelecer a composição precisa desses produtos pode exigir investigação adicional”, disse Branson.

A lacuna de visibilidade

Bibliotecas de código aberto, dependências transitivas, componentes desenvolvidos por fornecedores e trechos gerados por IA podem entrar em uma base de código por diferentes canais. Branson traça uma linha entre os registros dos fornecedores e o próprio código. Os registros dos fornecedores oferecem contexto útil, afirma ele, mas examinar o código subjacente pode revelar mais sobre a origem do software e as obrigações que o acompanham.

Essa lacuna afeta mais do que a engenharia. A procedência incerta pode complicar avaliações de propriedade intelectual, revisões de licenciamento, decisões de compras e garantias oferecidas aos clientes.

“A compreensão que uma organização tem de seu software pode influenciar o grau de confiança com que avalia os ativos que constrói, as obrigações que aceita e os compromissos que assume com os clientes”, disse Branson.

A IA muda o ritmo

Como o desenvolvimento assistido por IA afeta a supervisão de software?

O desenvolvimento assistido por IA traz outro desafio, e Branson afirma que a supervisão precisa se ajustar à medida que as equipes avançam mais rapidamente. O código agora pode ser produzido em segundos, mas muitos processos de revisão, práticas de documentação e verificações de conformidade não foram concebidos para essa velocidade.

“As empresas precisam ajustar sua supervisão à medida que o desenvolvimento avança mais rápido”, disse Branson. “A IA pode gerar código em segundos, mas nossos processos de revisão, documentação e verificações de conformidade simplesmente não estão preparados para essa velocidade. Além disso, trechos de código podem se infiltrar em aplicações sem nunca aparecer nos registros padrão de dependências.”

As organizações podem se beneficiar ao revisar como compilam seus inventários de software e quão precisamente esses registros refletem o código em uso, afirmou ele.

O que é um SBOM e por que ele importa?

A documentação desempenha papel central nessa revisão. Os Software Bills of Materials, ou SBOMs, fornecem inventários estruturados de componentes e dependências de software, ajudando as equipes a organizar informações em produtos complexos. O documento “2026 Minimum Elements for a Software Bill of Materials”, da CISA, oferece orientações sobre o que um SBOM pode conter e como ele contribui para a transparência da cadeia de suprimento. Para empresas que recebem software de múltiplos fornecedores, o valor desses inventários depende do nível de detalhe, da consistência e da atualidade das informações. A análise do código-fonte pode complementar essa documentação, ajudando as equipes a verificar se os registros de componentes correspondem ao software que estão examinando.

A tecnologia da FossID foi desenvolvida para identificar componentes de código aberto, licenças e fragmentos de código de terceiros, incluindo materiais que podem ser difíceis de rastrear apenas por meio de declarações de pacotes. Essa capacidade, segundo a empresa, pode ajudar organizações a investigar softwares que incluem contribuições de terceiros ou código assistido por IA.

“A procedência do software se torna mais útil quando as equipes conseguem relacionar a origem de um componente às responsabilidades que podem decorrer dele”, afirmou Branson. Informações compartilhadas desse tipo podem oferecer às equipes de engenharia, jurídica, segurança e conformidade uma base comum para avaliar decisões sobre software.

Branson também vê uma oportunidade de incorporar a governança ao trabalho cotidiano. Verificações de licenças e de composição podem tornar-se parte dos pipelines de desenvolvimento, das revisões de compras e da gestão de fornecedores. Quando as equipes atualizam as informações sobre componentes à medida que o software muda, podem achar mais fácil avaliar novas dependências, revisar requisitos de licenciamento e se preparar para revisões de produtos ou regulatórias.

A responsabilidade pode ser distribuída entre os departamentos. A engenharia fornece o contexto técnico, as equipes jurídicas interpretam as obrigações, as áreas de compras revisam as informações dos fornecedores e a liderança define prioridades e responsabilidades.

Branson sugere que os líderes comecem identificando quem é responsável pelo risco da cadeia de suprimento de software e como essa função se encaixa nas estruturas de governança existentes. Revisar como os inventários de software são criados, validados e atualizados pode mostrar onde uma verificação adicional seria útil. A diligência sobre fornecedores também pode incluir perguntas sobre composição de software, procedência e qualidade dos SBOMs. Os processos de ciclo de vida do produto podem estabelecer expectativas para manter esses registros atualizados.

“A oportunidade é tornar a integridade da cadeia de suprimento de software central para a forma como as organizações inovam, garantindo que as estratégias de crescimento levem em conta a linhagem do código e suas obrigações associadas”, disse Branson.

Para empresas que desenvolvem e compram software em ritmo crescente, a mensagem é que a capacidade de desenvolvimento e o conhecimento confiável sobre o próprio código precisam avançar juntos.

Este artículo fue escrito con la asistencia de IA.
News Factory APP - noticias agénticas para impulsar tu SEO y AEO.