ICT-toeleveringsketen

GeimplementeerdIB-coördinator

Risico’s in de software supply chain worden beheerd via Dependabot, PR-review en bewuste leverancierskeuzes.

Wat we doen

Dependency scanning: Dependabot draait op alle repositories en signaleert kwetsbare dependencies automatisch; updates komen binnen als pull request.
Nieuwe dependencies: komen via een pull request binnen en worden in de review beoordeeld op noodzaak, activiteit van het project, bekende kwetsbaarheden en licentie.
Cloud-diensten: hosting op GCP; soms in de cloudomgeving van de klant. Leveranciers worden beoordeeld volgens 5.19.
SDK’s van derden in apps: de apps gebruiken SDK’s van derden, zoals Firebase. Een fout bij de leverancier kan alle apps tegelijk raken; zo’n storing wordt gemeld en beoordeeld als gebeurtenis (5.24).
Build en release: via GitHub Actions, met secrets in GitHub Secrets (zie 8.32).

Geen bekende gaps. Een SBOM per project ontbreekt; dat staat bij 5.32.