目 錄 第1章 軟件供應(yīng)鏈安全概述 001 1.1 背景 002 1.1.1 什么是軟件供應(yīng)鏈安全 003 1.1.2 軟件供應(yīng)鏈安全現(xiàn)狀 004 1.1.3 軟件供應(yīng)鏈安全政策法規(guī)及標(biāo)準(zhǔn) 007 1.1.4 軟件供應(yīng)鏈安全市場 016 1.2 軟件供應(yīng)鏈攻擊特點 027 1.2.1 攻擊面廣、攻擊門檻低 027 1.2.2 隱蔽性強(qiáng)、潛意識信任 028 1.2.3 傳播性強(qiáng)、傷害性大 028 1.2.4 攻擊手段新、攻擊復(fù)雜化 028 1.3 軟件供應(yīng)鏈面臨的安全挑戰(zhàn) 029 1.3.1 供應(yīng)商可信度難以評估 029 1.3.2 供應(yīng)鏈復(fù)雜度高 030 1.3.3 軟件供應(yīng)鏈透明度低 030 1.3.4 風(fēng)險響應(yīng)速度慢 031 1.3.5 安全重視程度不足、人員意識薄弱 032 1.3.6 軟件供應(yīng)鏈安全威脅 033 第2章 軟件供應(yīng)鏈安全治理框架 034 2.1 軟件供應(yīng)鏈安全治理整體框架 035 2.2 軟件供應(yīng)鏈安全治理理念 036 2.3 軟件供應(yīng)鏈安全組織與制度建設(shè) 037 2.4 軟件供應(yīng)鏈安全研發(fā)體系 038 2.5 軟件供應(yīng)鏈安全技術(shù)能力 039 第3章 軟件供應(yīng)鏈安全管理機(jī)構(gòu)與人員 040 3.1 安全管理機(jī)構(gòu) 041 3.1.1 機(jī)構(gòu)崗位設(shè)置 041 3.1.2 授權(quán)和批準(zhǔn) 042 3.1.3 溝通與合作 043 3.1.4 審計和檢查 043 3.1.5 實踐示例 044 3.2 安全管理人員 047 3.2.1 人員招聘 048 3.2.2 離崗人員 048 3.2.3 安全意識教育和培訓(xùn) 049 第4章 軟件供應(yīng)商安全治理 050 4.1 基本定義 051 4.1.1 軟件供應(yīng)商在供應(yīng)鏈中所處位置 051 4.1.2 軟件供應(yīng)商安全治理意義 052 4.1.3 軟件供應(yīng)商治理環(huán)節(jié) 053 4.2 明確軟件供應(yīng)商安全治理總體方針 054 4.2.1 梳理業(yè)務(wù)核心需求 055 4.2.2 以政策法規(guī)、領(lǐng)域指標(biāo)為導(dǎo)向 055 4.3 軟件供應(yīng)商風(fēng)險評估 056 4.3.1 供應(yīng)商資質(zhì)評估 057 4.3.2 供應(yīng)商安全評估 063 4.3.3 軟件產(chǎn)品安全評