0
  • 聊天消息
  • 系统消息
  • 评论与回复
登录后你可以
  • 下载海量资料
  • 学习在线课程
  • 观看威廉希尔官方网站 视频
  • 写文章/发帖/加入社区
会员中心
创作中心

完善资料让更多小伙伴认识你,还能领取20积分哦,立即完善>

3天内不再提示

新思科技完善软件安全计划并已经迎来了第11个版本

lhl545545 来源:C114通信网 作者:岳明 2020-11-12 09:19 次阅读

自2008年发布第一版BSIMM(软件安全构建成熟度模型)以来,新思科技这一旨在帮助企业规划、执行、评估和完善其软件安全计划(SSI)的免费开放模型已经迎来了第11个版本--BSIMM11。

在今天的BSIMM11媒体沟通会上,新思科技软件质量与安全部门高级安全架构师杨国梁介绍称,BSIMM反映了数百家企业的真实实践,是一种基于科学的观点的描述型模型,能够为企业的软件安全方案提供指导参考,并且作为一项免费及开放的标准,广泛适用于各行业,可以评估任一软件安全方案。

“2008年我们发布BSIMM第一个版本时,其中只有9家公司。今天发布的BSIMM11则包含了我们观察到的130家公司的软件安全活动,覆盖多个垂直行业,包括金融服务、金融科技、独立软件供应商(ISV)、云、医疗保健、物联网、保险及零售等。”杨国梁告诉我们,BSIMM非常注重数据的“新鲜度”。

他谈到,从2008年开始,新思科技大概对共计211家企业展开过约500次以上的BSIMM测评,但BSIMM11版本里却仅有130家企业。这是因为如果一家公司超过一定时间没有再做新的BSIMM评估,新思科技就会把这家公司从其数据池中给移出去。因为一定时间之前做的评估中的活动,可能在新的版本中已经不具备代表性。同时,新思科技也会根据市场动态增加或删除进行参考和统计的安全活动。

据介绍,BSIMM可以作为企业衡量软件安全的标尺,他们可以将自己的软件安全计划与BSIMM社区的数据进行比较。在BSIMM报告中,会有一个反映全球不同领域企业(最新版本中,金融服务、独立软件供应商和云领域的企业占比最高)在12个具体实践维度中3个Level上平均水平的蛛网图,企业可以参照这张图对自身的安全性成熟度进行比较评估。

BSIMM11报告发现的新趋势包括:

·工程威廉希尔官方网站 导向的软件安全工作正在成功地为实现弹性的 DevOps 价值流贡献力量。BSIMM11表明,持续集成和持续交付(CI/CD)工具和运维编排已成为一些企业软件安全方案的常规操作,并且正在影响SSI的组织、设计和执行方式。例如,软件安全团队越来越多地向威廉希尔官方网站 小组或首席威廉希尔官方网站 官汇报工作(而不是IT安全团队或首席信息安全官),并且正在改变内部招募和组织人才的方式。

·软件定义的安全管理不再仅仅是一种愿景。企业采用由CI/CD管道执行中的事件触发的自动化活动替代一些摩擦性高的带外(out-of-band)数据安全活动。将人员流程和决策转换为算法是企业越来越多地解决资源约束和节奏管理问题的方法之一。

·安全“左移”变为“无处不移”。“左移”概念的实现已从在软件开发周期中较早地执行一些安全测试的字面解释演变为在有待检查的工件可用时立即执行安全活动。这可能意味着在过去我们认为在左侧(较早期)的安全测试现在大多数情况下可能是在右侧(偏后期,包括生产阶段)。

·在BSIMM里引入金融科技垂直行业的数据。在仔细审查了金融行业中不断增长的公司数据池后,很明显,有必要添加一个专门面向金融服务的ISV单独的垂直行业。

“每家企业都需要明确的软件安全方案来聚焦工作。敏捷、CI/CD或DevOps,既不是软件安全的原因,也不是解决方案。我们认为,软件安全需要不同团队的共同努力,也即DevSecOps。”杨国梁说到。事实上,BSIMM11报告表明,许多企业正在调整其软件安全计划,以支持数字化转型和DevOps等现代软件开发范例。

据介绍,在过去的一年中,添加到BSIMM10中的三个活动取得了惊人的增长(SM3.4 集成软件定义生命周期管理、AM3.3 监控自动化资产创建工作和CMVM3.5 自动验证运营基础运维安全性)。这反映了一些企业如何积极加速软件安全工作,以适应软件交付的速度。此外,BSIMM11中添加的两个活动显示了这一趋势在延续(ST3.6 自动实施事件驱动的安全性测试,CMVM3.6 发布可部署工件的风险数据)。这些新的活动代表着向DevSecOps的转变。

目前,云、物联网和高科技公司是BSIMM11数据池中最成熟的三个垂直行业。BSIMM11还强调了三个受到高度监管的行业之间的差异:金融服务、医疗保健和保险。金融服务行业比其他行业更早地组建软件安全团队,因此,与医疗保健和保险行业相比,拥有更为成熟的软件安全实践。BSIMM首次归纳金融科技行业的数据,并发现它与金融服务的追踪非常接近,主要的差异(有利于金融科技)体现在培训、安全测试和代码审查实践中。

“企业软件安全成熟度与其软件安全小组成立的时间,在某种程度上呈现一种正相关关系。一般来说,越早成立软件安全小组,或者在软件安全小组上花越多的时间,企业的软件安全成熟度就会越高。”杨国梁解释道。

而当我们问及安全由“左移”变为“无处不移”对于企业来说意味着什么时,杨国梁强调,左移目前还是一个比较好的方法论,根据新思科技与中国一些客户的交流,其实他们在整个开发过程中,能够做的比较有效的安全活动还不是很多。如果从投入产出比的角度来看,他建议企业先把左移做好,之后再进行其他可行实践。
责任编辑:pj

声明:本文内容及配图由入驻作者撰写或者入驻合作网站授权转载。文章观点仅代表作者本人,不代表电子发烧友网立场。文章及其配图仅供工程师学习之用,如有内容侵权或者其他违规问题,请联系本站处理。 举报投诉
  • 数据
    +关注

    关注

    8

    文章

    7015

    浏览量

    88993
  • 软件安全
    +关注

    关注

    0

    文章

    24

    浏览量

    9199
  • 金融科技
    +关注

    关注

    0

    文章

    59

    浏览量

    4004
收藏 人收藏

    评论

    相关推荐

    SOLIDWORKS 2025 AI驱动设计创新再升级 微辰三维

    SOLIDWORKS迎来了32版本“SOLIDWORKS2025”
    的头像 发表于 12-06 17:18 162次阅读

    思科推出Cisco 360合作伙伴计划

    在近日举办的思科合作伙伴峰会(CISCO PARTNER SUMMIT)上,全球网络和安全领域的领导者思科宣布了其合作伙伴计划的重大进展。全新的Cisco 360合作伙伴
    的头像 发表于 10-30 17:15 384次阅读

    一年两度减员,思科迎来转型阵痛期

    一年两度裁员,涉及超万人。网络业务巨头思科为何作出如此大手笔裁员?对于行业又能带来什么启示? 继英特尔之后,大洋彼岸的另一家IT巨头思科,也爆出了裁员计划。 彭博社消息指出,思科将进行
    的头像 发表于 08-21 11:22 390次阅读
    一年两度减员,<b class='flag-5'>思科</b><b class='flag-5'>迎来</b>转型阵痛期

    思科加速AI布局,计划裁员以优化成本结构

    思科公司近期发布了其全年营收预期,预计将在550亿至562亿美元之间,略低于市场分析师平均预期的556.7亿美元。然而,在业绩展望之外,思科更引人关注的是其在人工智能领域的积极扩张计划
    的头像 发表于 08-15 09:37 316次阅读

    特斯拉迎来里程碑:全球1000万电驱系统下线

    在科技日新月异的今天,电动汽车行业的领军企业特斯拉再次以非凡的成就震撼全球。8月1日,特斯拉官方宣布了一具有历史意义的消息——全球1000万电驱系统正式下线,标志着特斯拉在电动汽车核心威廉希尔官方网站 的自主研发与规模化生产上迈出了坚实
    的头像 发表于 08-01 16:40 1111次阅读

    思科将向AI初创公司投资10亿美元

    思科近日宣布,计划向专注于“安全可靠”人工智能服务的初创公司投资10亿美元,以进一步巩固其在AI威廉希尔官方网站 领域的地位。作为这一战略的一部分,思科已承诺约2亿美元的资金,
    的头像 发表于 06-07 09:39 575次阅读

    SOLIDWORKS教育版本软件

      SOLIDWORKS教育版本软件 SolidWorksEDU教育版SolidWorksEDU教育版软件简介SOLIDWORKS教育版结合了模拟工具、可持续发展设计和运动工具,是一套完整的工程套件
    的头像 发表于 05-14 17:42 449次阅读
    SOLIDWORKS教育<b class='flag-5'>版本</b><b class='flag-5'>软件</b>

    思科技将出售软件质量与安全部门

    思科技近日宣布,将出售其软件质量与安全业务部门,此次交易价值高达21亿美元,预计在今年下半年完成。此举标志着新思科技在优化其业务结构、提升利润率方面迈出了重要一步。
    的头像 发表于 05-14 14:22 471次阅读

    思科技宣布出售SIG业务

    思科技(Synopsys)近日宣布了一引人注目的交易计划已经与由Clearlake Capital和Francisco Partners领头的私募股权财团达成最终协议,将其旗下的
    的头像 发表于 05-08 10:35 495次阅读

    思科技将21亿美元出售软件完整性业务

    思科技近日宣布了一项重大战略调整,将旗下的软件完整性(SIG)业务以高达21亿美元的价格出售给由Clearlake Capital和Francisco Partners牵头的私募股权财团。这一交易预计将在今年下半年完成,标志着新思科
    的头像 发表于 05-08 09:38 449次阅读

    思科技预计今年下半年完成软件完整性业务出售给私募股权财团

    思科技总裁兼首席执行官Sassine Ghazi表示,Clearlake和 Francisco Partners在软件平台投资领域有卓越表现,是推动该业务成为独立世界级软件安全供应商
    的头像 发表于 05-07 09:59 319次阅读

    思科计划裁员5%,达数千人

    2月14日,思科(Cisco)宣布最新一季财报,同时表示,作为全公司重组的一部分,计划裁员5%,达数千人。主要原因是客户仍处「去库存」阶段,导致思科保守看待营运展望。
    的头像 发表于 02-19 14:43 918次阅读

    思科计划收购Ansys,350亿美元!

    思科技和Ansys近日宣布已达成最终协议,新思科技将收购Ansys。该交易预计于2025年上半年完成,并需获得股东和监管部门的批准。
    的头像 发表于 01-17 17:00 1082次阅读

    思科技将以350亿美元收购Ansys

    思科技(Synopsys)与Ansys两家业界巨头近日宣布,新思科技将以350亿美元的价格收购Ansys。这一并购计划旨在推动两家公司在芯片到系统设计解决方案领域的全球领导地位。
    的头像 发表于 01-17 14:53 796次阅读

    思科技携手AWS加速软件定义汽车的验证

    流媒体视频、声控操作、功能多样化的APP......以前属于智能手机的功能,在软件定义汽车(SDV)时代,也可以同样出现在汽车上。汽车早就已经不单是四轮子的交通工具了,它更是搭载先进软件
    的头像 发表于 01-17 09:15 809次阅读