风险情报驱动的数字供应链安全治理实践

原创

于 2025-12-31 16:27:17 发布 · 653 阅读

标签

#安全

尊敬的各位来宾：

大家好！我是悬镜安全CCO董毅，今天非常荣幸能与大家分享《风险情报驱动的数字供应链安全治理实践》。在数字化深入发展的今天，软件已成为各行各业的核心基础设施，而软件供应链的安全稳定，更是关乎企业生存、行业发展乃至国家网络空间安全的关键。

治理背景：

为什么国家与行业如此重视供应链安全？

首先，我们需要明确什么是软件供应链。根据国家标准GB/T 43698-2024《网络安全技术软件供应链安全要求》的定义，软件供应链是需方和供方基于供应关系，开展并完成软件采购、开发、交付、获取、运维和废止等供应活动而形成的网链结构。简单来说，从软件的"工厂"（开发阶段）到"江湖"（运营阶段），这一完整链路中的所有环节，都属于软件供应链的范畴。我们所做的，就是为这条"数字应用"的全生命周期安全保驾护航。

演讲现场-悬镜安全技术合伙人董毅

国家之所以专门出台国标规范供应链安全，核心原因在于当前国际网络安全形势日趋复杂。众所周知，去年黎巴嫩发生的通信设备大规模爆炸事件，揭开了"供应链战争"的黑幕——这是一次通过供应链预置和网络攻击实现的定向攻击活动，目标精准且破坏力巨大。而权威机构的预测更让我们警醒：Gartner指出，2025年全球45%的组织会受到软件供应链攻击，这一比例比2021年增长三倍；欧盟网络安全局（ENISA）更是预警，到2030年，软件供应链问题将成为头号网络威胁。

这些数据和案例都在告诉我们，软件供应链安全已不再是企业的"选择题"，而是关乎生存发展的"必答题"。在此背景下，悬镜安全基于多年探索实践，形成了一套可落地的供应链安全治理体系，希望能为行业提供参考。

实践指南：

六级工作域+三级成熟度的治理框架

我们将数字供应链安全治理的探索，归纳为六个核心工作域和三个成熟度等级。六个工作域（制度要求、资产清单、风险情报、检测告警、缓解治理、报告监测）没有优先级之分，需要全面覆盖；三个成熟度等级则是循序渐进的提升过程，从基础级到进阶级，再到引领级，实现从"被动防御"到"主动治理"的跨越。