新思科技 (Synopsys, Inc.，Nasdaq: SNPS)宣布發(fā)布其最新版本的軟件安全構(gòu)建成熟度模型(BSIMM)--BSIMM12。該模型旨在幫助企業(yè)規(guī)劃、執(zhí)行、評估和完善其軟件安全計劃(SSI)。BSIMM12反映了觀察到的128家公司的軟件安全實(shí)踐，覆蓋多個垂直行業(yè)，包括金融服務(wù)、金融科技、獨(dú)立軟件供應(yīng)商(ISV)、云、醫(yī)療保健、物聯(lián)網(wǎng)等。BSIMM12描述了近3,000名軟件安全團(tuán)隊成員和6,000多名外圍小組成員的工作成果。BSIMM是全球企業(yè)衡量軟件安全的標(biāo)尺，他們可以將自己的軟件安全計劃與BSIMM社區(qū)的數(shù)據(jù)進(jìn)行比較。
現(xiàn)代軟件中開源組件盛行，而且利用開源漏洞進(jìn)行的攻擊頻發(fā)。BSIMM12數(shù)據(jù)表明過去兩年軟件安全企業(yè)對開源的識別和管理活動增加了 61%。
與云平臺和容器技術(shù)相關(guān)的活動的增長表明，這些技術(shù)對企業(yè)如何使用和保護(hù)軟件產(chǎn)生了巨大影響。 例如，在過去兩年中，“對容器和虛擬化環(huán)境使用編排功能”的觀察增加了 560%。
請下載BSIMM12報告 https://www.bsimm.com/zh-cn/download.html?cmp=pr-sig&utm_medium=referral。
美國海軍聯(lián)邦信用合作社(Navy Federal Credit Union)是BSIMM社區(qū)的一員，其首席信息安全官 Mick Ware表示：“過去18個月里，企業(yè)都經(jīng)歷了數(shù)字化轉(zhuǎn)型大幅加速。越來越多的企業(yè)采用軟件定義方式來部署和管理軟件環(huán)境以及云技術(shù)堆棧。鑒于這些變化的復(fù)雜性和速度之快，對于安全團(tuán)隊來說，擁有工具讓他們了解安全計劃的狀態(tài)，并為下一步的發(fā)展方向提供參考至關(guān)重要。BSIMM 是用于實(shí)現(xiàn)此目的的管理工具。BSIMM提供獨(dú)特的視角，可以了解企業(yè)如何改變實(shí)施軟件定義的安全功能（如策略即代碼）的策略，以與現(xiàn)代軟件開發(fā)原則和實(shí)踐保持一致。”
Genetec Inc.也是BSIMM社區(qū)的一員，其首席安全架構(gòu)師Mathieu Chevalier表示：“BSIMM 研究方便企業(yè)有一個基準(zhǔn)用來評估當(dāng)前的安全實(shí)踐，確定優(yōu)先事項(xiàng)及保持前瞻性，以應(yīng)對安全領(lǐng)域的新興趨勢。BSIMM 的描述性模型可幫助企業(yè)確定如何開始構(gòu)建軟件安全計劃并使其行之有效。BSIMM12對責(zé)任共擔(dān)模型的觀察尤其應(yīng)鼓勵安全領(lǐng)導(dǎo)者考慮他們?nèi)绾伟l(fā)展，以應(yīng)對和縮小其安全戰(zhàn)略中的任何潛在差距。”
蘭吉爾(Landis+Gyr)首席信息安全官Todd Wiedman表示：“BSIMM報告與行業(yè)最佳實(shí)踐步調(diào)一致。憑借BSIMM，我們可以了解不同開發(fā)團(tuán)隊觀察到的各種開發(fā)安全活動的成熟度。隨著軟件開發(fā)實(shí)踐的加速，BSIMM12 數(shù)據(jù)解釋了安全開發(fā)計劃中發(fā)生的實(shí)際變化。 有了這些信息，企業(yè)可以調(diào)整自己的策略來保護(hù)自身和客戶，同時保持創(chuàng)新。” Landis+Gyr是 BSIMM社區(qū)成員企業(yè)。
Finastra 產(chǎn)品和數(shù)據(jù)安全計劃總監(jiān) Vinod Raghavan表示： “我們一直在使用 BSIMM 框架來提升安全戰(zhàn)略，這是產(chǎn)品和數(shù)據(jù)安全計劃的一部分。它有助于我們與金融服務(wù)及跨行業(yè)的其它企業(yè)進(jìn)行基準(zhǔn)比較，以提高安全成熟度。” Finastra是 BSIMM社區(qū)成員企業(yè)。
BSIMM12報告發(fā)現(xiàn)的新趨勢包括：
- 影響廣泛的勒索軟件和軟件供應(yīng)鏈中斷促使人們更加關(guān)注軟件安全。 BSIMM 數(shù)據(jù)顯示，在過去兩年中，參與評估的企業(yè)中，進(jìn)行“識別開源代碼”活動增加了 61%，“創(chuàng)建 SLA 樣板文件”活動增加了 57%。
- 企業(yè)開始學(xué)習(xí)如何將風(fēng)險轉(zhuǎn)化為數(shù)據(jù)。企業(yè)正更加努力地收集和發(fā)布他們的軟件安全計劃數(shù)據(jù)。過去 24 個月“在內(nèi)部發(fā)布有關(guān)軟件安全的數(shù)據(jù)”活動增加了 30%，證明了這一點(diǎn)。
- 增強(qiáng)的云安全功能。 管理層的日益關(guān)注，再加上工程化的驅(qū)動，使得企業(yè)開始培養(yǎng)自己的云安全管理能力以及評估他們的責(zé)任共擔(dān)模型。過去兩年中，與云安全相關(guān)的活動平均有36次新觀察結(jié)果。
- 安全團(tuán)隊正在借調(diào)資源、人員和知識用于DevSecOps活動。BSIMM 數(shù)據(jù)顯示，軟件安全團(tuán)隊正在從強(qiáng)制性的軟件安全行為朝著合作伙伴角色轉(zhuǎn)移--為 DevOps 實(shí)踐提供資源、人員和知識，目的是將安全工作納入軟件交付的關(guān)鍵路徑。
- 軟件物料清單活動增加了 367%。 BSIMM 數(shù)據(jù)顯示專注于以下內(nèi)容的能力有所增加，包括軟件物料清單的功能； 創(chuàng)建軟件物料清單 (BOM)； 了解軟件是如何構(gòu)建、配置和部署的； 以及提高企業(yè)基于安全遙測重新部署的能力。數(shù)據(jù)證明許多企業(yè)已經(jīng)重視對全面、最新的軟件 BOM 的需求，與這些功能相關(guān)的 BSIMM 活動（“通過運(yùn)維物料清單來增強(qiáng)應(yīng)用程序庫存盤點(diǎn)”）在過去兩年從3次增加到14次，增長了367%。
- 安全“左移”變?yōu)?ldquo;無處不移”。 “左移”的概念側(cè)重于在開發(fā)過程中更早地進(jìn)行安全測試。 “無處不移”將安全測試擴(kuò)展到在整個軟件生命周期中持續(xù)進(jìn)行，包括盡早進(jìn)行更小、更快、管道驅(qū)動的安全測試，這可能是在設(shè)計階段，甚至在生產(chǎn)階段。
從維護(hù)傳統(tǒng)的運(yùn)營庫存轉(zhuǎn)向自動化資產(chǎn)發(fā)現(xiàn)和創(chuàng)建物料清單需要添加“無處不移”活動，例如使用容器來強(qiáng)制實(shí)施安全控制、編排和掃描基礎(chǔ)設(shè)施即代碼。 BSIMM 觀察到更多活動，諸如“通過運(yùn)維物料清單來增強(qiáng)應(yīng)用程序庫存盤點(diǎn)”、“對容器和虛擬化環(huán)境使用編排功能”以及“監(jiān)控自動化資產(chǎn)創(chuàng)建”等活動，都證明了上述趨勢。
新思科技軟件質(zhì)量與安全部門總經(jīng)理Jason Schmitt表示：“自 2008 年以來，BSIMM 咨詢、研究和數(shù)據(jù)專家一直在收集有關(guān)企業(yè)為應(yīng)對軟件安全挑戰(zhàn)所采取的不同途徑的信息。參與BSIMM評估的企業(yè)軟件安全計劃的平均年限為4.4年，反映了企業(yè)如何調(diào)整以應(yīng)對現(xiàn)代開發(fā)和部署實(shí)踐新趨勢。有了這些信息，企業(yè)就可以調(diào)整策略來保護(hù)他們的企業(yè)和客戶，并持續(xù)創(chuàng)新。”
了解更多，請下載BSIMM12報告 https://www.bsimm.com/zh-cn/download.html?cmp=pr-sig&utm_medium=referral。
致謝
新思科技首席科學(xué)家Sammy Migues，新思科技管理負(fù)責(zé)人Eli Erlikhman,新思科技首席安全顧問Jacob Ewers，Gemini 應(yīng)用安全總監(jiān)Kevin Nassery，分析了過去近13年軟件安全研究收集的數(shù)據(jù)，并共同編寫B(tài)SIMM12報告。部分參與評估的公司包括：AARP, Adobe, Aetna, Alibaba, Ally Bank, Autodesk, Axway, Bank of America, Bell, Black Knight Financial Services, Canadian Imperial Bank of Commerce, Cisco, Citigroup, Depository Trust & Clearing Corporation, Eli Lilly, eMoney Advisor, EQ Bank, Equifax, F-Secure, Fannie Mae, Finastra, Freddie Mac, Genetec, Global Payments, HCA Healthcare, Highmark Health Solutions, Honeywell, HSBC, iPipeline, Johnson & Johnson, Landis+Gyr, Lenovo, MassMutual, McKesson, Medtronic, MediaTek, Morningstar, Navient, Navy Federal Credit Union, NCR, NEC Platforms, NetApp, NewsCorp, NVIDIA, Oppo, PayPal, Pegasystems, Principal Financial Group, RB, SambaSafety, ServiceNow, Synopsys, TD Ameritrade, Teradata, The Home Depot, The Vanguard Group, Trainline, Trane, U.S. Bank, Veritas, Verizon Media.
