原创力文档- 1、原创力文档（book118）网站文档一经付费（服务费），不意味着购买了该文档的版权，仅供个人/单位学习、研究之用，不得用于商业用途，未经授权，严禁复制、发行、汇编、翻译或者网络传播等，侵权必究。。
- 2、本站所有内容均由合作方或网友上传，本站不对文档的完整性、权威性及其观点立场正确性做任何保证或承诺！文档内容仅供研究参考，付费前请自行鉴别。如您付费，意味着您自己接受本站规则且自行承担风险，本站不退款、不进行额外附加服务；查看《如何避免下载的几个坑》。如果您已付费下载过本站文档，您可以点击 这里二次下载。
- 3、如文档侵犯商业秘密、侵犯著作权、侵犯人身权等，请点击“版权申诉”（推荐），也可以打举报电话：400-050-0827(电话支持时间：9:00-18:30)。
- 4、该文档为VIP文档，如果想要下载，成为VIP会员后，下载免费。
- 5、成为VIP后，下载本文档将扣除1次下载权益。下载后，不支持退款、换文档。如有疑问请联系我们。
- 6、成为VIP后，您将拥有八大权益，权益包括：VIP文档下载权益、阅读免打扰、文档格式转换、高级专利检索、专属身份标志、高级客服、多端互通、版权登记。
- 7、VIP文档为合作方或网友上传，每下载1次， 网站将根据用户上传文档的质量评分、类型等，对文档贡献者给予高额补贴、流量扶持。如果你也想贡献VIP文档。上传文档
上海纽盾科技股份有限公司
2025.07.04
目录
01.企业软件供应链风险及典型案例
02.企业软件供应链安全建设实战
03.总结和展望
软件供应链安全事件
Gartner分析指出，“到2025年，全球45%组织的软件供应链将遭受攻击，比2021年增加了三倍”。近年来，软件供
应链攻击事件越来越多，软件供应链的安全威胁将越来越严重，如何进行此类威胁治理是众多企业关注的重心。
典型案例1：Equifax信息泄露事件典型案例2：SolarWinds供应链攻击事件
l时间：2017年02月14日
l时间：2020年12月13日
l安全事件：黑客利用Equifax系统中未修复的Apache
Struts漏洞发起攻击，导致了系统中大规模数据泄露，影l安全事件：全球著名的网络安全管理软件供应商
响极其恶劣SolarWinds遭遇国家级APT组织高度复杂的供应链攻击
l成因类型：开源软件漏洞l成因类型：软件更新包后门
l危害：导致大约1.48亿美国消费者敏感数据泄露，包括姓
l危害：导致包括美国关键基础设施、军队、政府等在内的
名、社会安全号码、出生日期、地址和驾驶执照、209000
个信用卡号码和182000份用户信用报告申诉文件超过18000家客户全部受到影响，可任由攻击者操控
企业需关注的主要风险：从计算机系统演进视角看
从主机物理威胁，到网络和主机入侵威胁，再到复杂的多元化威胁。
大型机（1960s）小型机（1970-1980）个人PC（微机，1980-90）移动设备/物联设备（1990-）
•特点：无连接，数据少，•特点：开始连接，数据、业务逐渐增多•特点：连接多，数据量大，业务复
业务简单•威胁：网络互联造成攻击，威胁主机安全，网杂
•威胁：主机物理攻击络安全•威胁：复杂应用场景，威胁多元化
•应对：隔离和控制（物理）•应对：网络隔离，主机和网络入侵检测•应对：纵深、立体的安全防御
企业需关注的主要威胁风险：从是否可及时修复看
企业ICT基础设施因各种原因存在无法修复和加固的暴露面，不可及时修复的供应链风险目前正逐渐成为主要风险。
来源：Gartner2024年及未来中国网络安全重要趋势
企业需关注的主要风险：从监管要求看
各种法律法规、标准规范对供应链，尤其是软件供应链提出了全方位的系列要求。
法律法规标准规范
《信息安全技术ICT供应链安全风险《信息安全技术关键信息基础设
《中华人民共和国网络安全法》《关键信息基础设施安全保护条例》管理指南》施安全保护要求》
规定了网络产品和服务提供者的职责，包括要求建立供应链安全管理制度、明确安全管
严禁的行为、及时采取补救措施、告知报告理策略、供应商选择保障、采购过程规范、旨在提高网络运营者ICT供应链安全管理水7.9供
文档评论（0）