新思科技：软件安全之旅需要借助“他山之石”

作者：新思科技中国区软件应用安全业务总监杨国梁

随着全球数字化转型的不断深入，软件安全也迎来了高速发展期。只有建立可信、健全的软件安全保障体系，才能筑牢数字经济的网络安全屏障。

中国正在把发展经济的着力点放在实体经济上，加快建设网络强国、数字中国。同时，数字经济与各种产业叠加，赋予数字化力量，可以提升实体经济的产业优势，促进产业迈向高质量。对此，新思科技强调，数字赋能，安全先行。把安全贯穿在数字经济发展的全过程，才能行稳致远。软件安全不会一蹴而就，而是一个旅程，需要借鉴“他山之石”，取长补短。

当然，他人的经验并非都有普适性。虽然出发点是好的，但是如果采纳了不适合自身的软件安全建议，或者盲目跟随某家企业的软件安全计划，可能会导致损失。一旦不法分子发现其中的缺陷和漏洞，就可以窃取知识产权、员工和客户的个人信息、清空公司银行账户、破坏建筑的安保，甚至通过勒索软件来破坏企业运营。

在如今数字化转型的大环境中，每个企业在本质上都是一家软件公司。因此软件风险很大程度上等同于业务风险。在竞争激烈且充满不确定性的市场环境中，企业应该对软件安全建议谨慎求证，才能确定是否应该采取后续行动。

如果从一两家公司的软件安全计划中找不到合适的参照，那100多家呢？基于大量的真实数据，描述哪些方案是有效的，哪些是失败的，更重要的是行业在发生什么变化，已经采取了哪些安全举措以更高效地响应这些变化，进而构建可信软件。

这也是自2008年开始，全球有数百家企业参加软件安全构建成熟度模型（BSIMM）评估的原因。这其中也不乏中国企业，比如OPPO、联想和浪潮参加了新思科技最新的BSIMM13评估。

BSIMM是免费及开放的标准，广泛适用于各行业。BSIMM 软件安全框架(SSF)包含四个领域 — 治理、 情报、 SSDL 触点和部署，涵盖250项软件安全计划，观察企业如何将安全性构建到软件开发中，以应对不断变化的数字威胁环境。通过这种数据驱动的视角，BSIMM可全面评估企业软件安全小组的成熟度，并创建用于衡量其计划成熟度的软件安全计分卡。

除了评估和计分卡，BSIMM还为多样化的成员社区搭建交流桥梁，大家可以互动、学习行业最佳实践、获得对不断变化的商业环境的新见解，并参加线下活动，以促进更紧密的联系和合作。

无论您是正在制定软件安全计划，还是已经开始维护成熟的计划，根据BSIMM13数据，都应该考虑实施以下措施：

• 自动化软件安全工具到位。无论是用于静态或动态测试还是软件组成分析，这些工具都可以识别并帮助修复关键软件中的缺陷、漏洞和恶意代码，无论是内部开发的软件、商业第三方软件还是开源软件。

• 基于数据驱动安全决策。使用安全测试工具收集数据、合并数据，然后使用这些数据制定和实施软件安全策略。收集有关执行了哪些测试以及发现了哪些问题的数据，以推动同时改进软件开发生命周期(SDLC)和治理流程。

• 向自动化安全测试和决策转变。从人力资源密集的人工方式转变为更一致、更高效、可重复性更强的自动化方法。

• 在SDLC中向规模更小的自动检测转变。在检查软件时，尽一切可能通过规模更小、速度更快、管道驱动的测试替代渗透测试或人工代码审查等手动活动。

• 尽早创建全面的软件物料清单(SBOM)。SBOM中应包括企业的资产清单以及开源和第三方代码清单。

BSIMM13观察到的其中一个趋势是软件供应链风险管理兴起。就在几年前，这还是安全社区的边缘话题。现在，可能由于近期比较频繁的供应链攻击事件影响，管理软件供应链风险（最常见的是通过识别和保护开源软件来执行）成为BSIMM成员企业的首要任务。BSIMM13 报告显示，与控制开源风险相关的活动增加了 51%，通过构建和维护SBOM以对其部署的软件中的组件进行全面分类的企业增加了 30% 。

在BSIMM13中，最引人注目的数字或许是0。数据表明，在130家参与评估的企业中，没有一家的软件安全小组具有完全相同的架构。没有一个所谓“最好”的途径可以构建出成熟的软件安全应用。但我们有着共同的目标：构建可信的软件。

BSIMM并不规定企业需要采取何种路径。而是帮助企业能够根据其自身的风险概况和优先级制定合适的计划，以提升软件安全成熟度。