SolarWinds Orion (2020): khi chính bản cập nhật phần mềm tin cậy trở thành vũ khí xâm nhập hàng nghìn tổ chức

Rủi ro thường được nhận diện ở sản phẩm cuối, còn chuỗi công cụ (máy chủ build, tài khoản phát hành, kho chứng chỉ ký) lại bị coi là hạ tầng nội bộ. Nhưng với nhà cung cấp phần mềm, đường ống phát hành chính là điểm tập trung rủi ro cao nhất: một lần xâm nhập ở đó lan ra toàn bộ khách hàng. Danh mục rủi ro của dự án phát triển cần có hạng mục "tính toàn vẹn của quá trình build".

Phần mềm giám sát chạy với quyền rất cao, nhưng nhiều tổ chức coi nó là "đáng tin mặc định" vì đến từ nhà cung cấp lớn. Khi đánh giá nhà cung cấp và điều khoản hợp đồng, rủi ro cần được định lượng theo mức quyền mà sản phẩm nắm giữ trong môi trường của mình, kèm yêu cầu minh bạch về quy trình bảo mật phát hành.