写点什么

新思科技:数字赋能,安全先行

  • 2023-02-02
    上海
  • 本文字数:1682 字

    阅读完需:约 6 分钟

新思科技:数字赋能,安全先行

作者:新思科技中国区软件应用安全业务总监杨国梁

 


数字创新离不开软件驱动;软件的可信度很大程度取决于软件安全成熟度。中国正在把发展经济的着力点放在实体经济上,加快建设网络强国、数字中国。同时,数字经济与各种产业叠加,赋予数字化力量,可以提升实体经济的产业优势,促进产业迈向高质量。对此,新思科技强调,数字赋能,安全先行。把安全贯穿在数字经济发展的全过程,才能行稳致远。软件安全不会一蹴而就,而是一个旅程,需要借鉴“他山之石”,取长补短。

 

当然,他人的经验并非都有普适性。虽然出发点是好的,但是如果采纳了不适合自身的软件安全建议,或者盲目跟随某家企业的软件安全计划,可能会导致损失。一旦不法分子发现其中的缺陷和漏洞,就可以窃取知识产权、员工和客户的个人信息、清空公司银行账户、破坏建筑的安保,甚至通过勒索软件来破坏企业运营。

 

在如今数字化转型的大环境中,每个企业在本质上都是一家软件公司。因此软件风险很大程度上等同于业务风险。在竞争激烈且充满不确定性的市场环境中,企业应该对软件安全建议谨慎求证,才能确定是否应该采取后续行动。

 

如果从一两家公司的软件安全计划中找不到合适的参照,那 100 多家呢?基于大量的真实数据,描述哪些方案是有效的,哪些是失败的,更重要的是行业在发生什么变化,已经采取了哪些安全举措以更高效地响应这些变化,进而构建可信软件。

 


这也是自 2008 年开始,全球有数百家企业参加软件安全构建成熟度模型(BSIMM)评估的原因。这其中也不乏中国企业,比如 OPPO、联想和浪潮参加了新思科技最新的BSIMM13评估。

 

BSIMM 是免费及开放的标准,广泛适用于各行业。BSIMM 软件安全框架(SSF)包含四个领域 — 治理、 情报、 SSDL 触点和部署,涵盖 250 项软件安全计划,观察企业如何将安全性构建到软件开发中,以应对不断变化的数字威胁环境。通过这种数据驱动的视角,BSIMM 可全面评估企业软件安全小组的成熟度,并创建用于衡量其计划成熟度的软件安全计分卡。

 

除了评估和计分卡,BSIMM 还为多样化的成员社区搭建交流桥梁,大家可以互动、学习行业最佳实践、获得对不断变化的商业环境的新见解,并参加线下活动,以促进更紧密的联系和合作。

 

无论您是正在制定软件安全计划,还是已经开始维护成熟的计划,根据 BSIMM13 数据,都应该考虑实施以下措施:

 

·         自动化软件安全工具到位。无论是用于静态或动态测试还是软件组成分析,这些工具都可以识别并帮助修复关键软件中的缺陷、漏洞和恶意代码,无论是内部开发的软件、商业第三方软件还是开源软件。

 

·         基于数据驱动安全决策。使用安全测试工具收集数据、合并数据,然后使用这些数据制定和实施软件安全策略。收集有关执行了哪些测试以及发现了哪些问题的数据,以推动同时改进软件开发生命周期(SDLC)和治理流程。

 

·         向自动化安全测试和决策转变。从人力资源密集的人工方式转变为更一致、更高效、可重复性更强的自动化方法。

 

·         在 SDLC 中向规模更小的自动检测转变。在检查软件时,尽一切可能通过规模更小、速度更快、管道驱动的测试替代渗透测试或人工代码审查等手动活动。

 

·         尽早创建全面的软件物料清单(SBOM)。SBOM 中应包括企业的资产清单以及开源和第三方代码清单。

 

BSIMM13 观察到的其中一个趋势是软件供应链风险管理兴起。就在几年前,这还是安全社区的边缘话题。现在,可能由于近期比较频繁的供应链攻击事件影响,管理软件供应链风险(最常见的是通过识别和保护开源软件来执行)成为 BSIMM 成员企业的首要任务。BSIMM13 报告显示,与控制开源风险相关的活动增加了 51%,通过构建和维护 SBOM 以对其部署的软件中的组件进行全面分类的企业增加了 30% 。

 

在 BSIMM13 中,最引人注目的数字或许是 0。数据表明,在 130 家参与评估的企业中,没有一家的软件安全小组具有完全相同的架构。没有一个所谓“最好”的途径可以构建出成熟的软件安全应用。但我们有着共同的目标:构建可信的软件。

 

BSIMM 并不规定企业需要采取何种路径。而是帮助企业能够根据其自身的风险概况和优先级制定合适的计划,以提升软件安全成熟度。

用户头像

还未添加个人签名 2020-11-13 加入

还未添加个人简介

评论

发布
暂无评论
新思科技:数字赋能,安全先行_InfoQ_434670063458_InfoQ写作社区