数字时代，，，，，要害信息基础设施清静稳固运行关系国家清静、国计民生和公共利益，，，，，软件供应链清静是要害信息基础设施要面临的重点清静问题之一。。。。。。。克日，，，，，美国国家清静局(NSA)、网络清静和基础设施清静局(CISA)和国家情报总监办公室(ODNI)团结宣布了《面向开发职员的软件供应链清静指南》（Securing the Software Supply Chain for Developers），，，，，该指南内容可以为海内网络清静从业职员及关注者提供参考。。。。。。。

本次宣布的版本面向开发职员，，，，，后续还将宣布面向供应商和客户的版本。。。。。。。该指南凭证行业最佳实践和原则提供指导，，，，，原则包括清静需求妄想、从清静角度设计软件架构、添加清静功效以及维护软件和底层基础设施的清静。。。。。。。

指南概述 / 开发历程 融入清静

《面向开发职员的软件供应链清静指南》主要提供了开发者可用于为软件开爆发命周期提供清静包管的相关原则及建议，，，，，强调清静软件开爆发命周期是用于确保软件供应链清静的主要历程。。。。。。。该指南从清静产品标准和治理、清静代码开发、验证第三方组件、开发情形加固和代码交付等方面，，，，，给出了响应的威胁场景和建议的缓解步伐。。。。。。。

软件供应链中的角色与清静运动

清静产品标准和治理方面，，，，，给出了开发团队和产品治理团队的职员组成建议。。。。。。。

清静代码开发方面，，，，，被细分为内部职员修改或使用源代码、开源治理实践、清静开发实践、代码集成、客户报告的缺陷/误差问题和外部开发扩展等六个部分。。。。。。。

验证第三方组件方面，，，，，被细分为第三方二进制文件、选择和整合、从已知和可信的供应商处获取组件、组件维护和软件物料清单等五个部分。。。。。。。

开发情形加固方面，，，，，被细分为建设误差使用链和被攻击的署名服务器两部分。。。。。。。

代码交付方面，，，，，被细分为最终软件包验证、危及软件包和更新的潜在战术和交付系统破损三个部分。。。。。。。

清静软件开发历程与生命周期

在供应链清静方面，，，，，3377体育网官网入口始终坚持自主立异，，，，，打造了完整的国产化网络清静产品手艺系统；；；；；；；；基于“永不信任，，，，，始终验证”的零信任设计理念，，，，，已形成了SDP、IAM、MSG三大手艺蹊径，，，，，将DevSecOps清静开发与零信任相团结；；；；；；；；起劲实践ATT&CK框架，，，，，在产品的设计开发历程中以攻促防，，，，，一直打磨自身产品与服务；；；；；；；；将多年在误差挖掘、剖析、排查、修复等方面积累的实战履历，，，，，转化为软件测试交付运营历程中所需的清静服务能力，，，，，同时，，，，，依托自有的清静误差响应中心一直提升产品及营业的清静性。。。。。。。

作为中国信通院软件供应链清静实验室首批成员单位，，，，，同时也是中国信通院零信任实验室副理事长单位，，，，，3377体育网官网入口依附过硬的手艺实力已一连九年获评国家信息清静误差库CNNVD一级手艺支持单位称呼，，，，，一连四年荣获CNNVD年度优异手艺支持单位称呼。。。。。。。

TOPSEC

自主立异是3377体育网官网入口的基因，，，，，开放融合是3377体育网官网入口的理念。。。。。。。未来，，，，，3377体育网官网入口将一直增强在网络清静领域的研究与实践，，，，，进一步完善供应链清静的包管事情，，，，，筑牢要害信息基础设施清静新防地，，，，，赋能网空新未来。。。。。。。