NIST SSDF (SP 800-218)

Neljä käytäntöryhmää

SSDF jakaa käytäntönsä neljään ryhmään. Jokainen käytäntö kuvaa tavoitellun lopputuloksen, ja NIST korostaa, ettei kyse ole tarkistuslistasta: se on riskiperusteisen suunnittelun pohja.

Ryhmä	Tavoite	Esimerkkejä
Prepare the Organization (PO)	Ihmiset, prosessit ja työkalut ovat valmiina	Määritä tietoturvavaatimukset, jaa roolit, suojaa kehitysympäristö
Protect the Software (PS)	Koodi ja julkaisut ovat suojassa peukaloinnilta	Suojaa koodi kaikissa muodoissaan, varmista julkaisujen eheys, arkistoi jokainen julkaisu
Produce Well-Secured Software (PW)	Julkaisemassasi ohjelmistossa on vähän haavoittuvuuksia	Suunnittele tietoturva alusta asti, käytä uudelleen hyvin suojattuja ohjelmistoja, katselmoi ja testaa koodi
Respond to Vulnerabilities (RV)	Jäljelle jääneet puutteet löydetään ja hoidetaan	Tunnista haavoittuvuudet jatkuvasti, priorisoi ja korjaa ne, analysoi juurisyyt

Käytännöt, jotka koskevat toimitusketjuasi

• PO.3, tukevat työkaluketjut, ja PO.5, suojatut ympäristöt. CI-järjestelmäsi on osa sitä, mitä sinun on suojattava. Katso CI/CD-putken tietoturvan tarkistuslista.
• PS.3, arkistoi ja suojaa jokainen julkaisu. Tähän kuuluu alkuperätietojen keruu jokaisen julkaisun komponenteista, ja SSDF mainitsee SBOM:n yhtenä tapana tehdä se.
• PW.4, käytä uudelleen hyvin suojattuja ohjelmistoja. Kolmansien osapuolten komponentit pitää tarkastaa ja pitää ajan tasalla, ja tähän sopii ohjelmistokoostumuksen analyysi.
• RV.1, tunnista haavoittuvuudet jatkuvasti. Tämä on jatkuva velvollisuus eikä julkaisuportti, joten se edellyttää jo toimittamasi ohjelmiston seurantaa.
• RV.2, arvioi, priorisoi ja korjaa. Katso miten haavoittuvuudet priorisoidaan.

Onko SSDF pakollinen?

Ei sellaisenaan. Se on NISTin julkaisu, ei laki. Muutaman vuoden ajan se koski suoraan Yhdysvaltain liittovaltion toimittajia, koska OMB:n muistiot M-22-18 ja M-23-16 vaativat niitä vakuuttamaan noudattavansa siitä johdettuja käytäntöjä. Tämä muuttui 23.1.2026: OMB:n muistio M-26-05 kumosi molemmat ja siirtyi riskiperusteiseen lähestymistapaan. Virastot voivat yhä käyttää yhteistä vakuutuslomaketta ja NISTin standardeja, mutta ne eivät enää ole velvollisia siihen, joten toimittajien kannattaa varautua siihen, että vaatimukset vaihtelevat virastoittain.

Liittovaltion hankintojen ulkopuolella SSDF on edelleen hyödyllinen yhteisenä kielenä. Asiakkaat lainaavat siitä tietoturvakyselyihinsä, ja se on kohdistettavissa muihin standardeihin.

SSDF:n versiot

• Versio 1.1, SP 800-218, julkaistiin helmikuussa 2022, ja se on nykyinen lopullinen versio.
• Versio 1.2, SP 800-218 Revision 1, julkaistiin luonnoksena joulukuussa 2025.
• SP 800-218A on yhteisöprofiili, joka laajentaa SSDF:n generatiiviseen tekoälyyn ja kaksikäyttöisiin perustamalleihin.

Näin otat SSDF:n käyttöön

1. Kartoita nykytilanne. Käy käytännöt läpi ja kirjaa, missä täytät ne jo ja millä näytöllä.
2. Järjestä puutteet riskin mukaan. SSDF olettaa, että sovellat sitä oman riskisi mukaan, joten kaikki käytännöt eivät ansaitse yhtä syvällistä toteutusta.
3. Automatisoi näyttö. CI/CD-putkesta syntyvä näyttö pysyy ajan tasalla ilman lisätyötä. Käsin kirjoitettu näyttö vanhenee.
4. Nimeä vastuuhenkilöt. Jokainen käytäntö tarvitsee vastuuhenkilön. Useimmat kuuluvat kehitykselle eivätkä tietoturvalle.
5. Tarkista säännöllisesti. Päivitä kartoitus, kun työkalusi muuttuvat ja kun versio 1.2 etenee.

SSDF, SLSA ja CRA

SSDF kertoo, mitä turvallisen kehitysohjelman pitäisi saavuttaa. SLSA syventyy yhteen sen osaan, buildin eheyteen. EU:n kyberkestävyyssäädös (Cyber Resilience Act, CRA) on laki, jolla on omat velvoitteensa. Yhtä varten tehty työ siirtyy muihin, koska kaikki edellyttävät, että tiedät, mitä ohjelmistossasi on, ja käsittelet sen haavoittuvuudet.

Mihin CRACI sopii

SSDF on laaja ohjelma, eikä yksikään työkalu kata sitä. CRACI tuottaa näyttöä niihin käytäntöihin, jotka riippuvat buildista ja siitä, mitä toimitettiin: SBOM:t jokaisesta GitHub Actions -jobista, eristetyt jobit ja lähtevän liikenteen hallinta build-ympäristössä, toimitetun ohjelmiston jatkuva seuranta ja löydösten triage. CRACI ei tee sinusta vaatimustenmukaista, ja kartoitus ja vakuutus jäävät sinulle. Katso ohjelmistotoimitusketjun tietoturva CRACI:lla.

NIST SSDF: usein kysytyt kysymykset

Mikä on NIST SSDF?

Secure Software Development Framework, joka on julkaistu nimellä NIST SP 800-218. Se on kokoelma käytäntöjä turvallisten ohjelmistojen kehittämiseen, ja se jakautuu neljään ryhmään: organisaation valmistelu, ohjelmiston suojaaminen, hyvin suojatun ohjelmiston tuottaminen ja haavoittuvuuksiin reagointi.

Mistä lyhenne SSDF tulee?

Secure Software Development Framework.

Onko SSDF pakollinen?

Ei. Se on ohjeistus, ei laki. Yhdysvaltain liittovaltion toimittajien piti aiemmin vakuuttaa noudattavansa sen käytäntöjä, mutta OMB:n muistio M-26-05 kumosi vaatimuksen tammikuussa 2026. Virastot voivat yhä pyytää vakuutuksia.

Mikä on SSDF:n uusin versio?

Versio 1.1 (SP 800-218, helmikuu 2022) on nykyinen lopullinen versio. Versio 1.2 julkaistiin luonnoksena joulukuussa 2025, joten tarkista sen tila NISTin sivustolta.

Mitä eroa on SSDF:llä ja SLSA:lla?

SSDF kattaa turvallisen kehityksen kokonaisuutena ihmisten, prosessien ja teknologian osalta. SLSA syventyy buildin eheyteen ja alkuperätietoihin. Ne toimivat hyvin yhdessä.

Vaatiiko SSDF SBOM:n?

Se pyytää keräämään ja jakamaan alkuperätiedot jokaisen julkaisun komponenteista ja mainitsee SBOM:n yhtenä tapana tehdä se. Se kuvaa lopputuloksia eikä määrää tiettyä työkalua.