軟件安全構建成熟度模型BSIMM9 現(xiàn)已上線

新思科技最新報告突出了云轉(zhuǎn)型的影響和軟件安全社區(qū)的發(fā)展

今時今日，軟件可謂無處不在。然而安全漏洞問題也層出不窮。因此，制定一個行之有效的軟件安全計劃至關重要。當然，由于需求、資源、專業(yè)知識等因素各不相同，每家企業(yè)的軟件安全計劃也各有不同。但是，相信所有企業(yè)都可以從使用同一個測量標桿中受益。量化實際軟件安全計劃開展的活動，可以幫助更廣大的軟件安全社區(qū)計劃、實施和衡量自己的計劃。新思科技的軟件安全構建成熟度模型BSIMM是其中一種測量標桿。

美國新思科技公司(Synopsys, Nasdaq: SNPS)發(fā)布其最新版本的軟件安全構建成熟度模型——BSIMM9。該模型旨在幫助企業(yè)規(guī)劃、執(zhí)行并評估其軟件安全計劃(SSIs)。BSIMM9是軟件安全構建成熟度模型(BSIMM)的第九個版本，收集了120家企業(yè)過去10年的真實數(shù)據(jù)。BSIMM9強調(diào)了云轉(zhuǎn)型的影響和軟件安全社區(qū)的發(fā)展，并且在數(shù)據(jù)庫中納入了新的垂直行業(yè) - 零售業(yè)。

甲骨文公司旗下云ERP系統(tǒng)NetSuite基礎設施和安全高級副總裁Brian Chess博士表示：開發(fā)、安全和運營團隊需要步調(diào)一致，BSIMM9提供的數(shù)據(jù)表明這是通過自動化進行的，特別是當軟件遷移到云端時。這是朝著正確方向邁出的巨大一步：同時提高速度和安全性。”

BSIMM9描述了7,800多名軟件安全專家的工作成果，展現(xiàn)了軟件安全最佳實踐模塊背后的科學性。這些成果對41.5萬名開發(fā)人員有指導作用，幫助他們最大化地保障產(chǎn)品的安全性。這些開發(fā)人員參與約13.5萬應用程序的開發(fā)工作。參與BSIMM9調(diào)研的企業(yè)來自有代表性的垂直行業(yè)，包括金融服務、獨立軟件供應商(ISVs)，云、醫(yī)療衛(wèi)生、物聯(lián)網(wǎng)、保險及零售業(yè)。

BSIMM9 報告的主要發(fā)現(xiàn)包括：

云轉(zhuǎn)型：企業(yè)正在將其工作負載和開發(fā)流程遷移到云端 - 這種模式轉(zhuǎn)變需要采取不同的軟件安全措施。新思科技在評估過程中發(fā)現(xiàn)了三種直接或間接與云轉(zhuǎn)型有關的新活動并將它們加入到BSIMM報告。此外，在獨立軟件供應商、物聯(lián)網(wǎng)公司和云計算公司（三個最突出的垂直行業(yè)）觀察到的多種活動已開始融合，這表明通用云架構需要類似的軟件安全方法。

BSIMM應用在不同垂直行業(yè)：BSIMM可用來比較同一行業(yè)以及不同垂直行業(yè)之間的軟件安全計劃。 BSIMM9數(shù)據(jù)中納入了一個新的垂直行業(yè)——零售業(yè)。隨著電子商務模式的崛起，保持軟件安全對促進零售業(yè)健康發(fā)展至關重要，因此軟件安全計劃在這個行業(yè)的發(fā)展相對更快一些。零售業(yè)在安全方面已經(jīng)比醫(yī)療保健和保險業(yè)更加成熟。

評估規(guī)模擴大：BSIMM8收集的數(shù)據(jù)來自109家公司，BSIMM9增加到120家。參加BSIMM9評估的軟件安全從業(yè)人員數(shù)量增長了65％，開發(fā)人員數(shù)量增長了43％。BSIMM規(guī)模的大幅提升也反映了軟件安全正在成為日益重要的優(yōu)先事項。

新思科技安全技術部副總裁Gary McGraw博士表示：“BSIMM提供真實的數(shù)據(jù)參照，已經(jīng)成為評估和改進軟件安全計劃的可靠標準。憑借BSIMM，用戶可以將自己的軟件安全計劃與世界上其它一些成熟的公司作對比。BSIMM9凝聚了新思科技10年來在軟件安全領域觀察工作的結(jié)晶，匯集了該領域最大規(guī)模的客觀數(shù)據(jù)。”

BSIMM對已經(jīng)建立真正軟件安全計劃的企業(yè)進行觀察，描述了116項可付諸實踐的活動，通過量化不同企業(yè)的做法，能同時發(fā)現(xiàn)許多企業(yè)的共同點以及彰顯個性的不同之處。BSIMM數(shù)據(jù)顯示成熟度高的安全計劃很全面，開展了所有12個實踐模塊中的多項活動。企業(yè)可以憑借BSIMM對軟件安全計劃進行比較，由此決定哪些活動是可能有用的，可以支持其整體策略實施。