信息和通信技术产业链承担着我国产业从工业化向数字化转型升级的重要任务，软件供应链作为ICT供应链的重要组成部分，是各类关键信息基础设施平稳运行的基础，其关键组件的设计、开发、部署、监控和持续运营等生命周期核心环节的安全可控，成为网络安全的关键考量因素。
在7月18日召开的2022中国网络空间新型技术安全创新论坛-云安全分论坛会上，《软件供应链安全技术白皮书》(简称《白皮书》)出炉，旨在进一步推动国内软件供应链生态建设。
“从近几年的软件供应链攻击事件来看，利用开源社区、公共开源存储仓库等开源软件生态入侵事件较为严重。”绿盟科技天元实验室高级研究员陈静表示，需要从监管层面加强供应链产品安全认证管理，完善供应链资产管理和安全检查，理清企业供应链依赖关系，从而在监测到预警时能够从容应对。此外，为应对软件供应链威胁，上游企业需要构建自身产品的软件成分清单来梳理软件供应链信息，向下游企业和用户清晰、透明地提供管理软件供应链所需要的基础条件。
在软件开发生命周期中，开发阶段漏洞的引入不止在代码编写阶段，还有所依赖的开源组件、开发和构建工具等，依照软件的开发和构建过程，企业需要建设开发过程安全评估能力。在软件交付阶段，作为供应商，除保证交付软件安全外，也应将软件成分清单一并交付给下游企业，促使整个软件供应链的上下游都具备依据安全通报、威胁情报监控等第三方信息能够分析、评估软件供应链安全的基本条件。供应链软件产品交付运行后，供应商应在产品的生命周期内提供安全保障服务，对产品漏洞及时修复，最终用户也应根据供应商所提供的软件成分清单纳入企业资产管理范围，定期对资产进行安全评估，结合漏洞预警，对受影响的产品进行加固和修复。
“在技术不断迭代与产业高速发展中，软件供应链逐渐形成了包含技术体系、多元产品组件及各路开发者、供应者与消费者为一体的庞大产业生态，软件供应链安全将直接影响关键基础设施和数字经济安全。”陈静说，《白皮书》旨在从软件供应链安全威胁与国内外形势来梳理软件供应链中存在的安全问题，提炼出软件供应链安全治理的核心理念、技术框架、关键技术，并从供应链安全监管和控制方面给出解决方案和最佳实践，期望为读者带来全新的技术思考，助力我国软件产业发展。
(责任编辑：韩梦晨)
