数字创新离不开软件驱动；软件的可信度很大程度取决于软件安全成熟度。中国正在把发展经济的着力点放在实体经济上，加快建设网络强国、数字中国。同时，数字经济与各种产业叠加，赋予数字化力量，可以提升实体经济的产业优势，促进产业迈向高质量。对此，新思科技强调，数字赋能，安全先行。把安全贯穿在数字经济发展的全过程，才能行稳致远。软件安全不会一蹴而就，而是一个旅程，需要借鉴“他山之石”，取长补短。
当然，他人的经验并非都有普适性。虽然出发点是好的，但是如果采纳了不适合自身的软件安全建议，或者盲目跟随某家企业的软件安全计划，可能会导致损失。一旦不法分子发现其中的缺陷和漏洞，就可以窃取知识产权、员工和客户的个人信息、清空公司银行账户、破坏建筑的安保，甚至通过勒索软件来破坏企业运营。
在如今数字化转型的大环境中，每个企业在本质上都是一家软件公司。因此软件风险很大程度上等同于业务风险。在竞争激烈且充满不确定性的市场环境中，企业应该对软件安全建议谨慎求证，才能确定是否应该采取后续行动。
如果从一两家公司的软件安全计划中找不到合适的参照，那100多家呢？基于大量的真实数据，描述哪些方案是有效的，哪些是失败的，更重要的是行业在发生什么变化，已经采取了哪些安全举措以更高效地响应这些变化，进而构建可信软件。
这也是自2008年开始，全球有数百家企业参加软件安全构建成熟度模型（BSIMM）评估的原因。这其中也不乏中国企业，比如OPPO、联想和浪潮参加了新思科技最新的BSIMM13评估。
BSIMM是免费及开放的标准，广泛适用于各行业。BSIMM 软件安全框架(SSF)包含四个领域 — 治理、 情报、 SSDL 触点和部署，涵盖250项软件安全计划，观察企业如何将安全性构建到软件开发中，以应对不断变化的数字威胁环境。通过这种数据驱动的视角，BSIMM可全面评估企业软件安全小组的成熟度，并创建用于衡量其计划成熟度的软件安全计分卡。
除了评估和计分卡，BSIMM还为多样化的成员社区搭建交流桥梁，大家可以互动、学习行业最佳实践、获得对不断变化的商业环境的新见解，并参加线下活动，以促进更紧密的联系和合作。
无论您是正在制定软件安全计划，还是已经开始维护成熟的计划，根据BSIMM13数据，都应该考虑实施以下措施：
BSIMM13观察到的其中一个趋势是软件供应链风险管理兴起。就在几年前，这还是安全社区的边缘话题。现在，可能由于近期比较频繁的供应链攻击事件影响，管理软件供应链风险（最常见的是通过识别和保护开源软件来执行）成为BSIMM成员企业的首要任务。BSIMM13 报告显示，与控制开源风险相关的活动增加了 51%，通过构建和维护SBOM以对其部署的软件中的组件进行全面分类的企业增加了 30% 。
在BSIMM13中，最引人注目的数字或许是0。数据表明，在130家参与评估的企业中，没有一家的软件安全小组具有完全相同的架构。没有一个所谓“最好”的途径可以构建出成熟的软件安全应用。但我们有着共同的目标：构建可信的软件。
BSIMM并不规定企业需要采取何种路径。而是帮助企业能够根据其自身的风险概况和优先级制定合适的计划，以提升软件安全成熟度。
最前沿的电子设计资讯
