新思科技發(fā)布軟件安全構建成熟度模型第12版

自2008年起，新思科技(Synopsys, Inc.，Nasdaq: SNPS)每年都會通過與直接參與企業(yè)軟件安全活動的人員進行數(shù)百次訪談，收集不同企業(yè)的實際軟件安全實踐的定量數(shù)據(jù)，并分析匯總成為報告——軟件安全構建成熟度模型(BSIMM)。近日，新思科技發(fā)布了BSIMM12報告。

BSIMM模型旨在幫助企業(yè)規(guī)劃、執(zhí)行、評估和完善其軟件安全計劃(SSI)。BSIMM12反映了觀察到的128家公司的軟件安全實踐，覆蓋多個垂直行業(yè)，包括金融服務、金融科技、獨立軟件供應商(ISV)、云、醫(yī)療保健、物聯(lián)網(wǎng)等。BSIMM12描述了近3,000名軟件安全團隊成員和6,000多名外圍小組成員的工作成果。BSIMM是全球企業(yè)衡量軟件安全的標尺，他們可以將自己的軟件安全計劃與BSIMM社區(qū)的數(shù)據(jù)進行比較。

現(xiàn)代軟件中開源組件盛行，而且利用開源漏洞進行的攻擊頻發(fā)。BSIMM12數(shù)據(jù)表明過去兩年軟件安全企業(yè)對開源的識別和管理活動增加了 61%。

與云平臺和容器技術相關的活動的增長表明，這些技術對企業(yè)如何使用和保護軟件產(chǎn)生了巨大影響。 例如，在過去兩年中，“對容器和虛擬化環(huán)境使用編排功能”的觀察增加了 560%。

美國海軍聯(lián)邦信用合作社(Navy Federal Credit Union)是BSIMM社區(qū)的一員，其首席信息安全官 Mick Ware表示：“過去18個月里，企業(yè)都經(jīng)歷了數(shù)字化轉型大幅加速。越來越多的企業(yè)采用軟件定義方式來部署和管理軟件環(huán)境以及云技術堆棧。鑒于這些變化的復雜性和速度之快，對于安全團隊來說，擁有工具讓他們了解安全計劃的狀態(tài)，并為下一步的發(fā)展方向提供參考至關重要。BSIMM 是用于實現(xiàn)此目的的管理工具。BSIMM提供獨特的視角，可以了解企業(yè)如何改變實施軟件定義的安全功能（如策略即代碼）的策略，以與現(xiàn)代軟件開發(fā)原則和實踐保持一致。”

Genetec Inc.也是BSIMM社區(qū)的一員，其首席安全架構師Mathieu Chevalier表示：“BSIMM 研究方便企業(yè)有一個基準用來評估當前的安全實踐，確定優(yōu)先事項及保持前瞻性，以應對安全領域的新興趨勢。BSIMM 的描述性模型可幫助企業(yè)確定如何開始構建軟件安全計劃并使其行之有效。BSIMM12對責任共擔模型的觀察尤其應鼓勵安全領導者考慮他們?nèi)绾伟l(fā)展，以應對和縮小其安全戰(zhàn)略中的任何潛在差距?！?/p>

蘭吉爾(Landis+Gyr)首席信息安全官Todd Wiedman表示：“BSIMM報告與行業(yè)最佳實踐步調一致。憑借BSIMM，我們可以了解不同開發(fā)團隊觀察到的各種開發(fā)安全活動的成熟度。隨著軟件開發(fā)實踐的加速，BSIMM12 數(shù)據(jù)解釋了安全開發(fā)計劃中發(fā)生的實際變化。 有了這些信息，企業(yè)可以調整自己的策略來保護自身和客戶，同時保持創(chuàng)新。” Landis+Gyr是 BSIMM社區(qū)成員企業(yè)。

Finastra 產(chǎn)品和數(shù)據(jù)安全計劃總監(jiān) Vinod Raghavan表示： “我們一直在使用 BSIMM 框架來提升安全戰(zhàn)略，這是產(chǎn)品和數(shù)據(jù)安全計劃的一部分。它有助于我們與金融服務及跨行業(yè)的其它企業(yè)進行基準比較，以提高安全成熟度?！?Finastra是 BSIMM社區(qū)成員企業(yè)。

BSIMM12報告發(fā)現(xiàn)的新趨勢包括：

●   影響廣泛的勒索軟件和軟件供應鏈中斷促使人們更加關注軟件安全。 BSIMM 數(shù)據(jù)顯示，在過去兩年中，參與評估的企業(yè)中，進行“識別開源代碼”活動增加了 61%，“創(chuàng)建 SLA 樣板文件”活動增加了 57%。

●   企業(yè)開始學習如何將風險轉化為數(shù)據(jù)。 企業(yè)正更加努力地收集和發(fā)布他們的軟件安全計劃數(shù)據(jù)。過去 24 個月“在內(nèi)部發(fā)布有關軟件安全的數(shù)據(jù)”活動增加了 30%，證明了這一點。

●   增強的云安全功能。 管理層的日益關注，再加上工程化的驅動，使得企業(yè)開始培養(yǎng)自己的云安全管理能力以及評估他們的責任共擔模型。過去兩年中，與云安全相關的活動平均有36次新觀察結果。

●   安全團隊正在借調資源、人員和知識用于DevSecOps活動。BSIMM 數(shù)據(jù)顯示，軟件安全團隊正在從強制性的軟件安全行為朝著合作伙伴角色轉移——為 DevOps 實踐提供資源、人員和知識，目的是將安全工作納入軟件交付的關鍵路徑。

●   軟件物料清單活動增加了 367%。 BSIMM 數(shù)據(jù)顯示專注于以下內(nèi)容的能力有所增加，包括軟件物料清單的功能； 創(chuàng)建軟件物料清單 (BOM)； 了解軟件是如何構建、配置和部署的； 以及提高企業(yè)基于安全遙測重新部署的能力。數(shù)據(jù)證明許多企業(yè)已經(jīng)重視對全面、最新的軟件 BOM 的需求，與這些功能相關的 BSIMM 活動（“通過運維物料清單來增強應用程序庫存盤點”）在過去兩年從3次增加到14次，增長了367%。

●   安全“左移”變?yōu)椤盁o處不移”。 “左移”的概念側重于在開發(fā)過程中更早地進行安全測試。 “無處不移”將安全測試擴展到在整個軟件生命周期中持續(xù)進行，包括盡早進行更小、更快、管道驅動的安全測試，這可能是在設計階段，甚至在生產(chǎn)階段。

從維護傳統(tǒng)的運營庫存轉向自動化資產(chǎn)發(fā)現(xiàn)和創(chuàng)建物料清單需要添加“無處不移”活動，例如使用容器來強制實施安全控制、編排和掃描基礎設施即代碼。 BSIMM 觀察到更多活動，諸如“通過運維物料清單來增強應用程序庫存盤點”、“對容器和虛擬化環(huán)境使用編排功能”以及“監(jiān)控自動化資產(chǎn)創(chuàng)建”等活動，都證明了上述趨勢。

新思科技軟件質量與安全部門總經(jīng)理Jason Schmitt表示：“自 2008 年以來，BSIMM 咨詢、研究和數(shù)據(jù)專家一直在收集有關企業(yè)為應對軟件安全挑戰(zhàn)所采取的不同途徑的信息。參與BSIMM評估的企業(yè)軟件安全計劃的平均年限為4.4年，反映了企業(yè)如何調整以應對現(xiàn)代開發(fā)和部署實踐新趨勢。有了這些信息，企業(yè)就可以調整策略來保護他們的企業(yè)和客戶，并持續(xù)創(chuàng)新?！?/p>