一文读懂中国信通院软件供应链系列评估

Background

背景

数字化时代，软件已经成为日常生产生活必备要素之一，渗透到各个重要行业和领域。随着数字化转型进程的推进，容器、中间件、微服务、DevOps等新技术理念的演进，软件行业快速发展，但同时带来软件设计开发复杂度不断提升，软件供应链愈发复杂，全链路安全防护难度不断加大等问题。近年来，软件供应链安全事件频发，对于用户隐私、财产安全乃至国家安全造成重大威胁。软件成为社会运转组件的同时，软件供应链安全直接关系着关键基础设施和重要信息系统安全，保障软件供应链安全成为业界关注焦点，也成为企业共同诉求。

构建软件供应链系列标准体系

中国信息通信研究院云计算与大数据研究所自2019年，以安全开发为切入点，开展软件供应链安全相关研究工作，搭建软件供应链标准体系。截至目前，由中国信息通信研究院牵头，广泛邀请包括金融、互联网、运营商、软件厂商、安全厂商、工具厂商等个行业领域专家参与，共同编制了4项行业标准和6项团体标准，具体如下：

行业标准：《可信研发运营安全能力成熟度模型》、《静态应用程序安全测试工具能力要求》、《交互式应用程序安全测试工具能力要求》、《运行时应用程序自我保护工具能力要求》

团体标准：《软件供应链安全管理要求》、《软件物料清单总体能力要求》、《面向供应链的信息技术产品通用安全能力要求》、《软件物料清单配套工具能力要求》、《软件供应链制品管理平台能力要求》、《研发运营安全平台能力要求》

软件供应链系列评估

为助力企业提升软件供应链安全建设能力，定位建设短板，中国信通院依据标准开展测试评估工作，包括企业维度、产业维度和工具维度三大部分，如下图所示。

企业维度

① 3SM软件供应链安全管理能力评估

详情请戳 👉：

② TSM可信研发运营安全能力成熟度评估

详情请戳 👉：

③ 可信软件物料清单SBOM能力成熟度评估（企业维度）

详情请戳 👉：

产品维度