Open Source Security Specialist — løn 2026: 64.304 kr. om måneden

En open source security specialist arbejder med den del af koden, virksomheden ikke har skrevet selv. Moderne software består overvejende af frie komponenter — ofte hundredvis pr. program — og de udgør både en sikkerhedsrisiko og en juridisk forpligtelse.

• Overblik over komponenter: en fortegnelse over alt, der indgår i et produkt, i hvilke versioner
• Sårbarheder: når en fejl offentliggøres i en udbredt komponent, skal man kunne svare på, om man bruger den, inden for timer
• Afhængigheder i flere led: en komponent trækker andre med sig, og problemet ligger ofte fire led nede
• Opdatering: at holde komponenter opdaterede uden at vælte det, der virker
• Licenser: frie licenser har vilkår, og nogle kræver, at man offentliggør sin egen kode, hvis man distribuerer produktet
• Godkendelse: hvilke komponenter må udviklerne overhovedet bruge
• Forsyningskædeangreb: angribere lægger skadelig kode i populære komponenter, og det skal kunne opdages
• Rådgivning: hjælpe udviklerne med at vælge komponenter, der vedligeholdes og har et sundt fællesskab bag

Den faglige kerne er, at ansvaret ikke kan uddelegeres til den, der skrev komponenten. Bruger man en fri komponent i sit produkt, hæfter man selv for, at den er sikker — også selv om man ikke har betalt for den.

Området har fået skærpet opmærksomhed, fordi EU-regler nu stiller krav til sikkerheden i produkter med digitale elementer.

Arbejdet findes i softwarevirksomheder, i finanssektoren, hos producenter af udstyr med indbygget software og i det offentlige.

Hvilken lovgivning dækker denne rolle? EU's forordning om cyberrobusthed stiller krav til producenter af produkter med digitale elementer, herunder håndtering af sårbarheder og dokumentation af de anvendte komponenter. NIS2-direktivet kræver styring af risici i forsyningskæden i en række sektorer. Frie licenser er ophavsretlige aftaler, og overtrædelse af deres vilkår er en krænkelse af ophavsretsloven — nogle licenser kræver, at afledt kode gøres tilgængelig ved distribution.

Komponenter og deres versioner holdes i en komponentfortegnelse — et maskinlæsbart dokument i formaterne SPDX eller CycloneDX, som i stigende grad kræves af kunder og myndigheder.

Sårbarheder findes med afhængighedsscannere: Snyk, Dependabot, OWASP Dependency-Check eller Trivy, som kobler de anvendte versioner til de offentlige sårbarhedsdatabaser.

Licenser gennemgås med værktøjer som FOSSA eller Black Duck, der kan advare, når en komponent med et krævende vilkår indgår i et produkt, der distribueres.

Opdateringer automatiseres, så nye versioner foreslås løbende og afprøves af den automatiske test — netop testdækningen er det, der afgør, om man tør opdatere hurtigt.

Til at vurdere en komponents sundhed bruges tal for, hvor aktivt den vedligeholdes, hvor mange der bidrager, og hvor hurtigt sikkerhedsfejl rettes — en komponent med én vedligeholder er en risiko i sig selv.