ISO/CEI 19770

La première génération a été publiée en 2006. La deuxième génération a été publiée en 2012. Elle conserve le contenu original (avec seulement des changements mineurs), mais divise la norme en quatre niveaux qui peuvent être obtenus séquentiellement. Ces niveaux sont :

• Niveau 1 : données fiables
• Niveau 2 : Gestion pratique
• Niveau 3 : Intégration opérationnelle
• Niveau 4 : Conformité complète ISO/CEI ITAM

Cette norme révisée est conçue pour permettre à la mise en œuvre des processus ITAM d'être «réalisée en plusieurs étapes et avec l'ajustement le plus adapté aux besoins de l'organisation»[4].

Il y a trois principales méthodes qui peuvent être utilisées pour s’assurer que les marqueurs SWID sont disponibles sur l’appareil avec les logiciels installés :

• Les marqueurs SWID créés par l’éditeur ou le créateur du logiciel qui sont installés avec le logiciel, méthode qui prévaut pour l’identification ;
• Les organisations peuvent créer leurs propres marqueurs SWID pour tout logiciel qui ne possède pas déjà de marqueurs. Cela permet à l’organisation de suivre plus précisément les installations des logiciels sur leur réseau ;
• Des outils de recherche tiers peuvent également ajouter des marqueurs à un appareil au fur et à mesure que les propriétés du logiciel sont connues.

Fournir des données précises d’identification du logiciel améliore la sécurité organisationnelle et réduit les coûts. Il permet également d’augmenter la capacité des processus informatique tel que la gestion des correctifs (patches), desktop management, help desk management, le respect des politiques du logiciel etc. Les outils de détection ou processus qu’utilisent les marqueurs SWID permettent de déterminer le nom et les valeurs normalisés associés aux applications logicielles et veiller à ce que les outils et les processus utilisés par une organisation fassent référence au même logiciel avec l'exacte même nom et valeurs.

Cette norme a été publiée en novembre 2009[5]. Cependant une révision de cette norme a été publiée en octobre 2015[6] par Steve Klos.

En 2009, une organisation sans but lucratif appelé TagVault.org[7] formée sous IEEE-ISTO (en)[8] a fait pression pour l’utilisation des marqueurs SWID. TagVault.org agit comme une autorité d’enregistrement et de certification des marqueurs de la norme ISO/CEI 19770-2. Elle fournit également des outils et services à tous les membres de l’écosystème SAM, leur permettant de tirer avantage des marqueurs SWID plus rapidement, à moindre coût et avec plus de comptabilité industrielle que ce qui aurait été possible.

Les marqueurs SWID peuvent être créés par n’importe qui, les individus et les organisations ne sont pas tenues de faire partie de TagVault.org pour créer ou distribuer des marqueurs.

De nombreux pack d’installation d’outils Windows utilisent des marqueurs SWID :

• Caphyon's Advanced Installer
• Flexera Software (en) InstallShield
• Flexera Software's InstallAnywhere (en)
• Open Source - Windows Installer XML Toolset (WiX)

De nombreux outils de détection de logiciel utilisent déjà les marques SWIRD notamment : Altiris, Aspera License Management, Belarc (en)'s BelManage, Sassafras Software's K2-KeyServer, Snow Inventory, CA Technologies discovery tools, Eracent's EnterpriseAM, Flexera Software's FlexNet Manager Platform, HP's Universal Discovery, IBM Endpoint Manager and Microsoft's System Center 2012 R2 Configuration Manager.

Adobe a publié plusieurs versions de leurs produits Creative Suites et Creative Cloud avec des marqueurs SWID. Symantec a également publié plusieurs produits incluant des marqueurs SWID et s'est engagé à aider la communauté du logiciel, à adopter une approche plus cohérente et normalisée en matière d'identification des logiciels et, éventuellement, une approche plus automatisée de la compatibilité. Microsoft a ajouté des marqueurs SWID à toutes les nouvelles versions de ses logiciels depuis la sortie de Windows 8[9]. Et IBM a commencé à commercialiser des marqueurs avec certains logiciels début 2014, mais à partir de novembre, toutes les versions des logiciels IBM incluaient des marqueurs SWID. Cela équivaut à environ 300 versions de produits par mois incluant des marqueurs SWID.

Le gouvernement fédéral des États-Unis a identifié les marqueurs SWID de la norme 19770-2 comme un aspect important des efforts nécessaires pour gérer la conformité, la logistique et les processus de sécurité des logiciels. La norme 19770-2 est incluse dans le Registre des normes d'informations du Département de la Défense des États-Unis (DISR) comme une norme émergente depuis septembre 2012. Le National Institute of Standards and Technology (NIST)[10] et le National Cybersecurity Center of Excellence (en) (NCCoE) ont discuté en Mars 2015 de la nécessité des marqueurs SWID sur le marché.

La compagnie Trusted Computing Group (TCG)[11] développe une norme TNC SWID Messages et Attributs pour IF-M Spécification[12] qui utilise des marqueurs à des fins de sécurité.

Le National Cybersecurity Center of Excellence (en) (NCCoE) a documenté « The Software Asset Management Continuous Monitoring building block[13] » qui spécifie comment les marqueurs SWID sont utilisés pour l'identification en temps quasi réel des logiciels.

Le National Institute of Standards and Technology (NIST) est en train de créer une documentation qui spécifie comment les marqueurs SWID seront utilisés par les organisations gouvernementales, y compris le Département de la Sécurité intérieure des États-Unis. David Waltermire, spécialiste des IT (information technology) au NIST a présenté le programme d'automatisation de la sécurité du NIST[14] et comment les marqueurs SWID peuvent soutenir cet effort. Cet institut a publié « Guidelines for the Creation of Interoperable Software Identification (SWID) Tags », NISTIR 8060, en avril 2016.

Le Groupe de travail ISO/CEI 19770-3 (« Other Working Group[18]) » a été convoqué par vidéoconférence le 9 septembre 2008. John Tomeny[19] de Sassafras Software Inc a été l'organisateur et l'auteur principal de l'ISO/CEI 19770-3 « Other Working Group », plus tard renommé « Groupe de développement ISO/CEI 19770-3 ». M. Tomeny a été nommé par le Working Group 21 (ISO/CEI JTC 1 / SC 7 / WG 21) avec Krzysztof (Chris) Baczkiewicz d'Eracent, qui a servi en tant qu'éditeur de projet  sous la direction de M. Tomeny.

En plus des membres du WG21, d'autres participants au Groupe de Développement 19770-3 ont été désignés comme des «individus considérés comme ayant une expertise pertinente par le Coordinateur[20]». Jason Keogh[21] d'Alcurian et une partie de la délégation d'Irlande est l'éditeur actuel de 19770-3. L'ISO/CEI 19770-3 a été publiée le 15 avril 2016.

Cette partie de l'ISO/CEI 19770 a été élaborée en tenant compte des principes pratiques suivants :

L'ENT ou le schéma d'autorisation de logiciel est destiné à fournir la possibilité d'utilisation maximale avec les informations de droits existants, y compris toutes les transactions historiques de licences. Bien que les spécifications offrent de nombreuses possibilités d'amélioration des processus et des pratiques d'admissibilité, elles doivent être capables de traiter les transactions de licences existantes sans imposer des exigences qui empêcheraient ces transactions d'être codifiées dans les enregistrements ENT.

Cette partie de l'ISO/CEI 19770 (schéma d'autorisation) est destinée à s'aligner étroitement avec la partie 2 de la norme (étiquettes d'identification du logiciel). Cela devrait faciliter la compréhension et leur utilisation conjointe. En outre, tous les éléments, attributs ou autres spécifications de la partie 2 que le créateur ENT peut souhaiter utiliser peuvent également être utilisés dans cette partie.

Il est prévu que ce schéma normalisé profite à toutes les parties prenantes impliquées dans la création, l'octroi de licences, la distribution, la libération, l'installation et la gestion continue des droits logiciels. Les avantages pour les concédants de licences de logiciels qui fournissent des ORL comprennent, sans s'y limiter :

• Reconnaissance immédiate par le client logiciel des détails des droits d'utilisation dérivés de leur droit au logiciel.
• Possibilité de spécifier des détails aux clients qui permettent de mesurer et de déclarer les actifs logiciels aux fins de conformité aux licences.
• Sensibilisation accrue des clients finaux aux problèmes de conformité des licences logicielles.
• Amélioration des relations client-logiciel grâce à des audits de conformité des licences plus rapides et plus efficaces.

Les avantages pour les fournisseurs d'outils SAM, les fournisseurs d'outils de déploiement, les revendeurs, les revendeurs à valeur ajoutée, les emballeurs et les gestionnaires de versions comprennent, sans s'y limiter :

• Réception de données cohérentes et uniformes par les donneurs de licences de logiciels et les créateurs d'ORL.
• Des informations plus cohérentes et plus structurées sur les droits, appuyant l'utilisation de techniques automatisées pour déterminer la nécessité de réhabiliter les licences de logiciels.
• Amélioration des rapports issus d'une catégorisation supplémentaire rendue possible par l'utilisation d'ORL.
• Amélioration des capacités de rapprochement des droits de l'outil SAM résultant de la normalisation de l'emplacement et du format des données d'autorisation de logiciel.
• Capacité de fournir des fonctionnalités à valeur ajoutée pour la gestion de la conformité par la consommation de données d'admissibilité.

Les avantages pour les clients logiciels, les praticiens SAM, les professionnels du support informatique et les utilisateurs finaux d'un élément donné de configuration logicielle comprennent, sans s'y limiter :

• Réception de données cohérentes et uniformes par les fournisseurs de licences de logiciels, les revendeurs et les fournisseurs d'outils SAM.
• Des informations plus cohérentes et plus structurées sur les droits qui appuient l'utilisation de techniques automatisées pour déterminer le besoin de réhabilitation des licences de logiciels.
• Amélioration des rapports issus d'une catégorisation supplémentaire rendue possible par l'utilisation d'ORL.
• Amélioration de la SAM et des capacités de conformité des licences logicielles découlant des étiquettes d'identification logicielles ISO/CEI 19770-2, standardisées et fournies par le fournisseur de licences, et compatibles avec ces ORL.
• Amélioration de la capacité à éviter les sous-achats de licences logicielles ou les sur-achats avec une optimisation des coûts ultérieure.
• Utilisation standardisée sur plusieurs plates-formes, rendant les environnements informatiques hétérogènes plus faciles à gérer.

• ITIL
• ISO/CEI 20000
• Gestion des actifs logiciels

• ISO/CEI 19770-1:2012 (fr)
• Aaperçu du vocabulaire de ISO/CEI 19770-5

• Portail du logiciel
• Portail du management