基于評估規(guī)劃、構(gòu)建并改進其軟件安全計劃
美國新思科技公司 （Synopsys, Nasdaq: SNPS ）發(fā)布其業(yè)界領(lǐng)先的最新版本的軟件安全構(gòu)建成熟度模型 -- BSIMM8。該模型是基于真實數(shù)據(jù)，旨在幫助企業(yè)規(guī)劃、執(zhí)行并評估其軟件安全計劃（SSIs）。BSIMM8是軟件安全構(gòu)建成熟度模型（BSIMM）的第八個版本，首次于亞太區(qū)發(fā)布，是迄今為止發(fā)布最詳細的BSIMM數(shù)據(jù)。BSIMM8顯示隨著越來越多企業(yè)在SSI生命周期初期就已經(jīng)設立基準，軟件安全已經(jīng)成為他們一項關(guān)鍵的考量。企業(yè)運用評估結(jié)果從戰(zhàn)略上管理風險， 隨著時間推移，其SSI將出現(xiàn)顯著改進。請點擊鏈接下載BSIMM8報告：https://www.bsimm.com/zh-cn/download.html
安全技術(shù)部副總裁Gary McGraw博士表示：“針對易受攻擊軟件的破壞性攻擊分布廣并且數(shù)量日益增長。我們發(fā)現(xiàn)從被動的‘滲透和補丁’方式轉(zhuǎn)向更多的主動戰(zhàn)略，可以幫助企業(yè)從一開始就可以系統(tǒng)地構(gòu)建安全軟件。企業(yè)開始明白，他們可以通過構(gòu)建SSI來有效地降低風險，并通過諸如BSIMM等工具來評估其優(yōu)勢和不足，將精力放在最恰當?shù)膶嵺`模塊和活動上。”
BSIMM8收集了來自109家公司的數(shù)據(jù)，并且描述了4,769名軟件安全專家的工作成果，展現(xiàn)了軟件安全最佳實踐模塊背后的科學性。這些成果對近30萬名開發(fā)人員有指導作用，幫助他們最大化地保障產(chǎn)品的安全性。這些開發(fā)人員參與約9.5萬應用程序的開發(fā)工作。參與BSIMM8調(diào)研的公司來自有代表性的垂直行業(yè)，包括金融服務、獨立軟件供應商（ISVs），云、醫(yī)療衛(wèi)生、物聯(lián)網(wǎng)和保險。
BSIMM8 研究的主要發(fā)現(xiàn)包括：
- 企業(yè)運用BSIMM來助推SSI。BSIMM8增加了實施SSI相對較晚的公司，平均總體成熟度有所下滑1 ，從BSIMM7中的33.9%降至33.1% ，企業(yè)軟件安全小組 （SSG）建立的平均時長從3.94年降至3.88年。設立SSI基準是軟件安全行為的首要步驟之一。
- BSIMM公司SSI逐漸走向成熟。參加多次BSIMM評估的公司的成熟度有明顯的上升趨勢，平均活動數(shù)量增加了10.3，達到33.4%。設立基準是指導企業(yè)持續(xù)構(gòu)建安全軟件最有效的實踐。
- 成熟度因行業(yè)而異。每個行業(yè)都有不同于其它行業(yè)的關(guān)注重點和舉措，每個行業(yè)和獨立組織構(gòu)建軟件安全的方式也有差異�？偟膩碚f，云端、金融服務、獨立軟件供應商的成熟度要高于醫(yī)療衛(wèi)生、物聯(lián)網(wǎng)和保險行業(yè)。金融服務和云行業(yè)在合規(guī)與政策實踐模塊得分較高，物聯(lián)網(wǎng)行業(yè)在軟件環(huán)境實踐中成熟度最高。
根據(jù)權(quán)威調(diào)研機構(gòu)Gartner調(diào)研顯示，應用程序安全需要一個有結(jié)構(gòu)的、程序化的方法來處理看似復雜的新技術(shù)和不斷變化的威脅環(huán)境。可靠的應用安全方案必須是人、流程和技術(shù)三者的平衡結(jié)合2。
BSIMM對已經(jīng)建立真正SSI的企業(yè)進行觀察，描述了113項可付諸實踐的活動，通過量化多家不同企業(yè)的做法，能同時發(fā)現(xiàn)許多企業(yè)的共同點以及彰顯個性的不同之處。BSIMM數(shù)據(jù)顯示成熟度高的安全計劃很全面，開展了所有12個實踐模塊中的多項活動。企業(yè)可以憑借BSIMM對軟件安全計劃進行比較，由此決定哪些活動是可能有用的。
致謝
Gary McGraw博士和Synopsys公司首席科學家Sammy Migues，以及NetSuite首席架構(gòu)師Jacob West，分析了過去9年軟件安全研究收集的數(shù)據(jù)。參與評估的公司包括：Adobe, Aetna, Amgen, ANDA, Autodesk, Axway, Bank of America, Betfair, BMO Financial Group, Black Knight Financial Services, Box, Canadian Imperial Bank of Commerce, Capital One, City National Bank, Cisco, Citigroup, Citizen’s Bank, Comerica Bank, Cryptography Research （a division of Rambus）, Dell EMC, Depository Trust & Clearing Corporation, Elavon, Ellucian, Epsilon, Experian, F-Secure, Fannie Mae, Fidelity, Freddie Mac, General Electric, Genetec, Highmark Health Solutions, Horizon Healthcare, Services, Inc., HPE Fortify, HSBC, Independent Health, iPipeline, JPMorgan Chase & Co., Lenovo, LGE, LinkedIn, McKesson, Medtronic, Morningstar, Navient, NetApp, NVIDIA, NXP Semiconductors N.V., Oracle NSGBU, PayPal, Principal Financial Group, Qualcomm, Royal Bank of Canada, Scientific Games, Siemens, Sony Mobile, Splunk, Symantec, Synopsys SIG, Target, TD Ameritrade, The Advisory Board, The Home Depot, The Vanguard Group, Trainline, Trane, U.S. Bank, Veritas, Verizon, Wells Fargo, Zendesk,以及 Zephyr Health.
- BSIMM 分數(shù)反映了在評估一家公司的SSI時所觀察到的全部軟件安全活動。每項活動得一分，BSIMM框架一共包括113項活動。
- 來源：Gartner, “A Guidance Framework for Establishing and Maturing an Application Security Program”，發(fā)表于 2016年12月23日，作者為Michael Isbitski和 Ramon。
BSIMM簡介
軟件安全構(gòu)建成熟度模型（BSIMM）是一個測量和評估軟件安全計劃（SSI）的工具，第一版BSIMM于2008年構(gòu)建。 BSIMM收集超過100家企業(yè)的真實數(shù)據(jù)，基于這些數(shù)據(jù)對SSI進行精細研究和分析。BSIMM是一個開放的標準，包括一個基于軟件安全實踐模塊的框架，企業(yè)可以據(jù)此來評估其軟件安全。
新思科技軟件質(zhì)量與安全平臺
新思科技（Synopsys） 為您構(gòu)建完整、安全、高質(zhì)量的SDLC和供應鏈提供了最全面的解決方案。我們把領(lǐng)先的測試技術(shù)、自動化分析以及專家結(jié)合到一起，創(chuàng)建出強大的產(chǎn)品和服務組合。該組合能夠讓企業(yè)開發(fā)出定制的程序，用在開發(fā)流程的早期發(fā)現(xiàn)并修復缺陷和漏洞，從而最大限度降低風險，最大限度提高生產(chǎn)力。新思科技是應用安全測試領(lǐng)域的公認領(lǐng)導者，它具有獨特的優(yōu)勢，能夠把最新實踐改編和應用到各種新技術(shù)和新趨勢之中，例如物聯(lián)網(wǎng)、DevOps、CI/CD和云計算等等。測試結(jié)束時，我們的工作并未停止。我們還提供上線（onboarding）和部署協(xié)助、有針對性的補救指導以及各種培訓解決方案，幫助您優(yōu)化投資。無論您是上路新手，還是識途老馬，我們的平臺都能夠協(xié)助確保應用的完整性，為您的業(yè)務保駕護航。 Synopsys公司為您構(gòu)建完整、安全、高質(zhì)量的SDLC和供應鏈提供了最全面的解決方案。我們把領(lǐng)先的測試技術(shù)、自動化分析以及專家結(jié)合到一起，創(chuàng)建出強大的產(chǎn)品和服務組合。該組合能夠讓企業(yè)開發(fā)出定制的程序，用在開發(fā)流程的早期發(fā)現(xiàn)并修復缺陷和漏洞，從而最大限度降低風險，最大限度提高生產(chǎn)力。Synopsys是應用安全測試領(lǐng)域的公認領(lǐng)導者，它具有獨特的優(yōu)勢，能夠把最新實踐改編和應用到各種新技術(shù)和新趨勢之中，例如物聯(lián)網(wǎng)、DevOps、CI/CD和云計算等等。測試結(jié)束時，我們的工作并未停止。我們還提供上線（onboarding）和部署協(xié)助、有針對性的補救指導以及各種培訓解決方案，幫助您優(yōu)化投資。無論您是上路新手，還是識途老馬，我們的平臺都能夠協(xié)助確保應用的完整性，為您的業(yè)務保駕護航。Synopsys公司為您構(gòu)建完整、安全、高質(zhì)量的SDLC和供應鏈提供了最全面的解決方案。我們把領(lǐng)先的測試技術(shù)、自動化分析以及專家結(jié)合到一起，創(chuàng)建出強大的產(chǎn)品和服務組合。該組合能夠讓企業(yè)開發(fā)出定制的程序，用在開發(fā)流程的早期發(fā)現(xiàn)并修復缺陷和漏洞，從而最大限度降低風險，最大限度提高生產(chǎn)力。Synopsys是應用安全測試領(lǐng)域的公認領(lǐng)導者，它具有獨特的優(yōu)勢，能夠把最新實踐改編和應用到各種新技術(shù)和新趨勢之中，例如物聯(lián)網(wǎng)、DevOps、CI/CD和云計算等等。測試結(jié)束時，我們的工作并未停止。我們還提供上線（onboarding）和部署協(xié)助、有針對性的補救指導以及各種培訓解決方案，幫助您優(yōu)化投資。無論您是上路新手，還是識途老馬，我們的平臺都能夠協(xié)助確保應用的完整性，為您的業(yè)務保駕護航。 Synopsys公司為您構(gòu)建完整、安全、高質(zhì)量的SDLC和供應鏈提供了最全面的解決方案。我們把領(lǐng)先的測試技術(shù)、自動化分析以及專家結(jié)合到一起，創(chuàng)建出強大的產(chǎn)品和服務組合。該組合能夠讓企業(yè)開發(fā)出定制的程序，用在開發(fā)流程的早期發(fā)現(xiàn)并修復缺陷和漏洞，從而最大限度降低風險，最大限度提高生產(chǎn)力。Synopsys是應用安全測試領(lǐng)域的公認領(lǐng)導者，它具有獨特的優(yōu)勢，能夠把最新實踐改編和應用到各種新技術(shù)和新趨勢之中，例如物聯(lián)網(wǎng)、DevOps、CI/CD和云計算等等。測試結(jié)束時，我們的工作并未停止。我們還提供上線（onboarding）和部署協(xié)助、有針對性的補救指導以及各種培訓解決方案，幫助您優(yōu)化投資。無論您是上路新手，還是識途老馬，我們的平臺都能夠協(xié)助確保應用的完整性，為您的業(yè)務保駕護航。更多信息，請訪問：
美國新思科技簡介
新思科技（Synopsys, Inc.，納斯達克股票市場代碼： SNPS）致力于創(chuàng)新改變世界，在芯片（Silicon）到軟件（Software）的眾多領(lǐng)域， 新思科技始終引領(lǐng)和參與全球各個科技公司的緊密合作，共同開發(fā)人們所依賴的電子產(chǎn)品和軟件應用。作為世界第15大軟件公司，新思科技是全球排名第一的電子設計自動化（EDA）供應商和全球排名第一的半導體接口IP供應商，同時也是軟件質(zhì)量和安全解決方案的全球領(lǐng)導者。
新思科技（Synopsys, Inc.，納斯達克股票市場代碼： SNPS）致力于創(chuàng)新改變世界，在芯片（Silicon）到軟件（Software）的眾多領(lǐng)域， 新思科技始終引領(lǐng)和參與全球各個科技公司的緊密合作，共同開發(fā)人們所依賴的電子產(chǎn)品和軟件應用。作為世界第15大軟件公司，Synopsys 是全球排名第一的電子設計自動化（EDA）供應商和全球排名第一的半導體接口IP供應商，同時也是軟件質(zhì)量和安全解決方案的全球領(lǐng)導者。（
無論您是制造先進半導體的系統(tǒng)芯片（SoC）設計者，或是編寫最高質(zhì)量和安全性應用的開發(fā)者，新思科技均可提供您所需的解決方案，交付創(chuàng)新、高質(zhì)量、安全的產(chǎn)品。
