IT领导者如何评估安全设计软件声明

网络威胁日益增长已不是秘密。根据FBI互联网犯罪投诉中心的数据，2023年美国报告的网络安全犯罪成本激增22%，超过125亿美元。其中一个问题是传统编码和安全方法在软件中遗留的漏洞。为应对这些风险，业界正协同努力创建安全设计（secure-by-design）软件。例如，美国网络安全和基础设施安全局（CISA）已概述了一系列供应商可采取的行动，以证明其正在采用安全设计原则。

但缺乏可执行的标准和指标，IT和安全领导者难以评估供应商是否以及如何实施这种安全设计方法。以下是一些可采取的措施。

将安全设计实践纳入安全风险评估

供应商风险评估是企业识别和评估与供应商产品及运营相关潜在危害的标准流程。Ivanti现场首席信息安全官Michael Riemer表示，IT和安全领导者可利用此流程聚焦于安全设计原则和实践。

“对我们作为软件供应商而言，这意味着要对自身产品负全责，”Riemer说。“您需要审视解决方案的整个架构，并在所有领域考虑安全性，如架构设计、存储、连接性、使用等。”

作为安全风险评估的一部分，企业还应考虑要求SOC 2 Type 2报告。此类评估提供了关于供应商如何保护客户数据和信息的更多保证。它涉及第三方网络安全审计，评估供应商内部安全控制措施和实践在较长时间内的运行情况。

以下是每个供应商应能回答的关键问题：

• 您进行渗透测试的频率如何？
• 进行哪些类型的渗透测试？
• 是否执行静态和动态代码分析？

评估编码实践

传统编码实践是顺序性的：一个团队处理一个模块，然后交给下一个团队，依此类推。但Riemer指出，这会保留引入代码库的漏洞。通过将团队重组为“小组”或群组，每个小组配备专职安全架构师，可以从一开始就剔除漏洞。Riemer表示，这对Ivanti来说是一个重大变革。供应商应能展示这些组织变革和新实践。

评估安全设计的透明度

供应商应能公开披露其安全设计目标，并展示他们正在或将要定期报告指标。客户还应能通过软件模块跟踪供应商的进展。

“我们制定了具体目标，建立了基线和指标，”Riemer说。“我们对自己的安全设计进展负责。这些指标将显示我们分析了哪些软件模块，以及在识别和纠正薄弱编码实践方面分析的深度。”

总结

企业和IT领导者可利用安全设计原则评估软件供应商在创建本质上更安全代码方面的进展。安全设计使这些领导者能够最小化业务风险。