第二章传统的供应商风险管理
传统的供应商风险管理方法历来用于了解软件和产品供应商的安全软件开发实践。其理念是，要求供应商回答一系列关于他们如何处理某些安全控制的问题，这可能是确定他们是否了解他们应该做什么、是否有记录在案的流程以及他们是否在做他们所说的事情的唯一方法。这是通过要求提供额外的证据来表明他们正在做什么来实现的。但首先，让我们了解一下这个问题，并检查一下这种方法的有效性。
2.1评估
首先，这些评估面临着巨大的潜在挑战。企业每年如何进行数百甚至数千次评估来执行风险管理计划？最常见的方法是利用一份标准问卷，将其发送给所有供应商，向他们提出相同的问题，以便将供应商相互比较。但哪些...
2.2 软件开发生命周期评估
软件开发生命周期（Software Development Life Cycle，SDL）评估更侧重于了解供应商的流程。虽然这个框架可能类似于传统的供应商风险评估，但通常由合格的应用安全顾问进行...
2.3应用程序安全成熟度模型
与SDL评估类似，查看诸如构建安全成熟度模型（Building Security in Maturity Model，BSIMM）或软件保证成熟度模型（Software Assurance Ma...
2.4 应用程序安全保证
传统上，应用程序安全实践集中在应用程序测试的概念上，我们在这里称之为应用程序安全保证。在这里，应用程序安全超越了治理和流程等较软的主题，旨在回答有关应用程序技术风险的问题。我们在这里讨论五种主要...
2.5哈希和代码签名
使用加密验证的历史可以追溯到几十年前，通过诸如MD5和SHA-256之类的算法构建单向哈希。其理念是由于这是不可逆的加密，不能被操控，并且因为哈希理论上应该是唯一的，可以用于表示文件的完整性。如...
2.6总结
在本章中，我们讨论了一些与传统供应商风险评估、第一方与第三方证明挑战以及应用程序成熟度模型相关的历史背景。我们还讨论了一些常见的应用保障和安全措施工具和方法，以识别并促进缓解应用程序中的漏洞和缺...