IBM, Red Hat en Deloitte gaan intensiever samenwerken om de beveiliging van open source-software te verbeteren. Deloitte sluit zich aan bij het eerder dit jaar geïntroduceerde Lightwell-initiatief, dat organisaties ondersteunt bij het sneller oplossen van kwetsbaarheden zonder dat daarvoor altijd een volledige software-upgrade nodig is.

Lightwell werd in mei door IBM en dochterbedrijf Red Hat gelanceerd met als doel de beveiliging van veelgebruikte open source-componenten te versterken. Bij de start werd aangekondigd dat 20.000 engineers en een investering van 5 miljard dollar beschikbaar worden gesteld voor dit project. Deloitte treedt nu toe als integratiepartner en brengt expertise in op het gebied van cyberrisicobeheer en software supply chains.

Veel bedrijfssoftware bestaat uit een mix van eigen code, open source-elementen en commerciële software. Kwetsbaarheden in één van deze onderdelen kunnen de veiligheid van complete applicaties in gevaar brengen. De drie bedrijven benadrukken dat deze uitdaging toeneemt doordat AI het tempo versnelt waarmee nieuwe kwetsbaarheden worden ontdekt en misbruikt.

Lightwell biedt een alternatief voor de traditionele aanpak van beveiligingsupdates, waarbij kwetsbaarheden doorgaans worden opgelost via reguliere software-upgrades. Dit betekent vaak dat organisaties eerst naar een nieuwere versie moeten migreren voordat een lek is gedicht. Beveiligingspatches zijn bovendien niet altijd direct toepasbaar, omdat ze soms alleen geschikt zijn voor de nieuwste softwareversie of ingrijpende configuratiewijzigingen vereisen. Lightwell ontwikkelt en valideert patches specifiek voor de softwareversies die organisaties al in gebruik hebben, waardoor directe toepassing mogelijk wordt.

Deloitte voegt integratie- en beheerdiensten toe en ondersteunt organisaties bij het identificeren van kwetsbare software, het prioriteren van risico’s en het testen en uitrollen van gevalideerde patches. Hiervoor zet Deloitte onder meer een team van Forward Deployed Engineers in.

De samenwerking richt zich in eerste instantie op organisaties met sterk gereguleerde softwareomgevingen, waar cybersecurity- en compliance-eisen zwaarder wegen. Deloitte helpt klanten continu inzicht te houden in welke open source-componenten daadwerkelijk in hun applicaties aanwezig zijn, zodat kwetsbare afhankelijkheden sneller opgespoord kunnen worden. Naast het detecteren en herstellen van kwetsbaarheden bieden de partijen ook ondersteuning bij compliance, documentatie en afstemming met open source-projecten en softwareleveranciers. Zo wordt inzichtelijk welke kwetsbaarheden aanwezig zijn, hoe deze zijn opgelost en welke maatregelen zijn genomen.

De uitbreiding van Lightwell volgt kort op de introductie van Akrites, een initiatief van de Linux Foundation waaraan ook IBM en Red Hat deelnemen. Dit project richt zich eveneens op het versneld opsporen en verhelpen van kwetsbaarheden in veelgebruikte open source-software. Beide initiatieven spelen in op de ontwikkeling dat AI het eenvoudiger maakt om kwetsbaarheden op grote schaal te vinden, waardoor de snelheid van beveiligingsupdates steeds belangrijker wordt.