《软件供应链安全实践指南》

Software Supply Chain Security Practice Guide

《软件供应链安全实践指南》正式出版发行

范丙华主编   安全玻璃盒安全团队编著

中国工程院院士沈昌祥 极力推荐

中国人民银行科技司原副司长陈天晴、浙商银行资深安全专家孙钢、数世咨询创始人&CEO李少鹏、浙江网络空间安全协会理事长宋皆荣、安恒信息高级副总裁袁明坤、原阿里云安全首席科学家 KMind AI创始人吴翰清、张耀欣博士、资深安全专家白日等联袂力荐。

本书结合安全玻璃盒多年软件供应链安全实践经验积累，全面阐述软件供应链安全的背景和定义，深入剖析软件供应链安全关键技术，具体分析软件安全研发全生命周期的安全建设，提出了软件供应链安全治理框架及方案，为我国软件供应链安全技术创新和发展提供参考。

一、为什么编写此书？

我们想通过此书的发布，希望能推动国家数字软件供应链安全领域的建设和发展，为筑牢国家数字安全屏障尽点微薄之力。因当前面对严峻复杂的国际形势，深受贸易摩擦、技术封锁、技术断供、网络战等因素影响，以及数字技术与应用高速发展，造成软件供应链安全事件频发，包括因漏洞风险导致的数据泄漏、知识产权风险、断供风险及投毒风险等，给用户隐私安全、财产安全乃至国家安全带来了严重威胁。其次，在数字应用已全面实现在线化、数据化、智能化，安全已不仅是简单的护卫队角色，安全不再孤立存在，安全应成为软硬件产品本身的一种能力；安全也不仅是使用者、运营者的责任，更是设计者、制造者、生产者的责任。当前严峻的网络安全形势正在倒逼企业逐步转变安全理念，应以“不是需要更多的安全软件、而是需要更安全的软件”为安全发展理念，从运行时防护转向构建自主可控、安全可信的内生性软件供应链安全体系。从“打针吃药事后补丁修复方式”逐步转向“提升自身抵抗力、抗攻击能力和免疫能力”。

二、此书的内容概要？

围绕以如何构建安全可信、内生可控的软件供应链安全体系为总体纲要：本书以“前置伴生、内生可控、高效便捷”为安全理念，从软件供应链管理与人员机构安全、供应商安全治理、三方软件管理、安全融入开发过程、开发过程的数据安全、软件开发环境安全、运行安全以及软件供应链安全管理制度进行全方位、多维度、深层次、立体化地布控软件供应链安全治理解决方案。以技术、管理和服务三管齐下为基准，形成了两个相互补充的安全闭环。第一,聚焦软件研发内部,形成涵盖需求设计、开发、验证、发布和部署的安全开发全生命周期安全闭环;第二,在宏观层面,从整个软件供应链的角度出发，包括上游供应商的安全治理以及下游用户的运行使用安全，确保全生命周期中每个触点都受到保护。同时，在这两个闭环中穿插软件供应链安全组织架构的建设、相关安全制度的确立，以实现对整个软件供应链安全的全方位覆盖。这种双重闭环策略确保了从源头到终端用户，每一个环节都不会被忽视，从而为构建一个更加安全的软件供应链生态系统提供坚实的基础。

三、此书的定位和意义？

本书可作为网安从业者对软件供应链安全治理工作的参考和指导。希望在本书的指引下，与业界同仁共同推进软件供应链安全体系的构建和发展，为筑牢国家网络安全屏障添砖加瓦、保驾护航。
最后，因我们的时间仓促、编者的水平有限，书中的错误和缺点在所难免,在此恳请广大读者提出批评和指正，以便今后修订、再版时得到改进和完善，以便能够更好的推动国家数字软件供应链安全领域的发展。在此预致谢意。

大咖力荐

中国工程院院士-沈昌祥

中国人民银行科技司原副司长陈天晴

浙商银行资深安全专家孙钢

数世咨询创始人&CEO李少鹏

浙江网络空间安全协会理事长宋皆荣

安恒信息高级副总裁袁明坤

原阿里云安全首席科学家 KMind AI创始人

吴翰清

张耀欣博士

资深安全专家白日

《软件供应链安全实践指南》目录

福利赠书

即日起，截止到2024年8月31日12:00，转发至朋友圈获赞50个，联系小编微信：tcsec_DevSecOps。将获得《软件供应链安全实践指南》1本。赠书数量有限，期待您的参与！

购书链接：

#小程序://当当购物/2NUHilkL2cx6Adn

#小程序://京东购物/qMntLnoARHTOzYh

— 往期回顾 —

安全玻璃盒首创基于AI的二进制函数级SCA

荣获浙江省委网信办网络安全技术支撑单位

重磅发布！安全玻璃盒RASP护网版本

入选ZJCERT第三届网络安全应急服务支撑单位

TCSEC
安全玻璃盒【杭州孝道科技】是一家专注于为用户提供软件供应链安全产品和解决方案的国家高新技术企业、省级专精特新企业。公司始终坚持以科技创新助力国家数字软件供应链安全，已拥有百余项自主知识产权，通过基于AI模型和卷积神经网络，自主研发了全链路智能动态污点分析、函数级智能基因检测与自动化验证等核心技术与产品，为用户提供DevSecOps安全开发解决方案、软件供应链安全一体化解决方案、上线即安全与免疫防御解决方案、基于SBOM开源软件供应链安全情报与治理、软件供应链安全安全检查评估工具等。同时也服务于亚运会软件供应链安全检查、关键基础设施用户软件供应链安全专项检查等技术支撑工作。