《軟件供應鏈安全實踐指南》正式出版發行
范丙華主編 安全玻璃盒安全團隊編著
中國工程院院士沈昌祥 極力推薦
中國人民銀行科技司原副司長陳天晴、浙商銀行資深安全專家孫鋼、數世咨詢創始人&CEO李少鵬、浙江網絡空間安全協會理事長宋皆榮、安恒信息高級副總裁袁明坤、原阿里云安全首席科學家 KMind AI創始人吳翰清、張耀欣博士、資深安全專家白日等聯袂力薦。
本書結合安全玻璃盒多年軟件供應鏈安全實踐經驗積累，全面闡述軟件供應鏈安全的背景和定義，深入剖析軟件供應鏈安全關鍵技術，具體分析軟件安全研發全生命周期的安全建設，提出了軟件供應鏈安全治理框架及方案，為我國軟件供應鏈安全技術創新和發展提供參考。
一、為什么編寫此書?
我們想通過此書的發布，希望能推動國家數字軟件供應鏈安全領域的建設和發展，為筑牢國家數字安全屏障盡點微薄之力。因當前面對嚴峻復雜的國際形勢，深受貿易摩擦、技術封鎖、技術斷供、網絡戰等因素影響，以及數字技術與應用高速發展，造成軟件供應鏈安全事件頻發，包括因漏洞風險導致的數據泄漏、知識產權風險、斷供風險及投毒風險等，給用戶隱私安全、財產安全乃至國家安全帶來了嚴重威脅。其次，在數字應用已全面實現在線化、數據化、智能化，安全已不僅是簡單的護衛隊角色，安全不再孤立存在，安全應成為軟硬件產品本身的一種能力;安全也不僅是使用者、運營者的責任，更是設計者、制造者、生產者的責任。當前嚴峻的網絡安全形勢正在倒逼企業逐步轉變安全理念，應以“不是需要更多的安全軟件、而是需要更安全的軟件”為安全發展理念，從運行時防護轉向構建自主可控、安全可信的內生性軟件供應鏈安全體系。從“打針吃藥事后補丁修復方式”逐步轉向“提升自身抵抗力、抗攻擊能力和免疫能力”。
二、此書的內容概要?
圍繞以如何構建安全可信、內生可控的軟件供應鏈安全體系為總體綱要：本書以“前置伴生、內生可控、高效便捷”為安全理念，從軟件供應鏈管理與人員機構安全、供應商安全治理、三方軟件管理、安全融入開發過程、開發過程的數據安全、軟件開發環境安全、運行安全以及軟件供應鏈安全管理制度進行全方位、多維度、深層次、立體化地布控軟件供應鏈安全治理解決方案。以技術、管理和服務三管齊下為基準，形成了兩個相互補充的安全閉環。第一,聚焦軟件研發內部,形成涵蓋需求設計、開發、驗證、發布和部署的安全開發全生命周期安全閉環;第二,在宏觀層面,從整個軟件供應鏈的角度出發，包括上游供應商的安全治理以及下游用戶的運行使用安全，確保全生命周期中每個觸點都受到保護。同時，在這兩個閉環中穿插軟件供應鏈安全組織架構的建設、相關安全制度的確立，以實現對整個軟件供應鏈安全的全方位覆蓋。這種雙重閉環策略確保了從源頭到終端用戶，每一個環節都不會被忽視，從而為構建一個更加安全的軟件供應鏈生態系統提供堅實的基礎。
三、此書的定位和意義?
本書可作為網安從業者對軟件供應鏈安全治理工作的參考和指導。希望在本書的指引下，與業界同仁共同推進軟件供應鏈安全體系的構建和發展，為筑牢國家網絡安全屏障添磚加瓦、保駕護航。
因我們的時間倉促、編者的水平有限，書中的錯誤和缺點在所難免,在此懇請廣大讀者提出批評和指正，以便今后修訂、再版時得到改進和完善，以便能夠更好的推動國家數字軟件供應鏈安全領域的發展。在此預致謝意。
大咖力薦：
即日起，截止到2024年8月31日12:00，轉發至朋友圈獲贊50個，聯系小編微信將獲得《軟件供應鏈安全實踐指南》1本。贈書數量有限，期待您的參與!
關于安全玻璃盒：
安全玻璃盒【杭州孝道科技】是一家專注于為用戶提供軟件供應鏈安全產品和解決方案的國家高新技術企業、省級專精特新企業。
安全玻璃盒始終堅持以科技創新助力國家數字軟件供應鏈安全，以“不是需要更多的安全軟件、而是需要更安全的軟件”為安全發展理念。公司已擁有三十余項技術發明專利和七十余項自主軟件著作權，通過基于AI模型和卷積神經網絡，自主研發了全鏈路智能動態污點分析、函數級智能基因檢測與自動化驗證等核心技術與產品，為用戶提供DevSecOps安全開發解決方案、軟件供應鏈安全一體化解決方案、上線即安全與免疫防御解決方案、基于SBOM開源軟件供應鏈安全情報與治理、軟件供應鏈安全安全檢查評估工具等。目前已覆蓋各大關鍵基礎設施行業的TOP級用戶，包括中國證監會、興業銀行、浙商銀行、廣東農信社、浙江農信社、河北農信社、杭州銀行、北京銀行、河北銀行、國家進出口保險、中國移動、中國電信、中國聯通、國家電網及各省市級大數據發展管理局等TOP級用戶，同時也服務了亞運會軟件供應鏈安全檢查、關鍵基礎設施用戶軟件供應鏈安全專項檢查等技術支撐工作。
