1.引言
1.1.报告摘要
本报告通过调研超过百家企业，覆盖金融、互联网、制造、医疗、政府等多个行业，全面分析了不同领域的企业在安全开发生命周期（S-SDLC）开发安全能力上的表现和差距。根据2024年度的差距分析数据发现，几乎所有企业在安全开发方面正呈现出以下几大趋势：安全自动化工具的应用加速、供应链安全管理的重要性提升、安全左移实践的普及，以及开发团队安全意识的增强。
同时，不同行业在安全实践上也表现出显著差异：如以金融、保险为主的受强监管的行业非常注重合规驱动，以电力、能源等关键基础设施的行业非常注重快速响应威胁和构筑多级安全防护体系，而医疗行业则表现为围绕高价值医疗数据和复杂医疗系统快速推动该行业的企业提升安全开发能力。
欢迎阅读本报告
| 本报告试图通过报告应用开发安全领域关于人员、流程、技术、文化、合规性、AI转型等安全关注点变化的信息来让阅读者了解安全行业的发展趋势，欢迎阅读《S-SDLC CMM差距分析：2024安全开发能力洞见》报告，谢谢。 |
1.2.S-SDLC术语
在本报告中会涉及到一些软件安全术语，我们将在这里为大家做统一解释和说明。
| S-SDLC术语 以下列表中将突出显示本文中所使用的一些重要术语： ● 差距分析：差距分析是一种用于评估企业当前能力与最佳实践之间差距的方法。在软件安全领域，差距分析通过对企业现有的安全开发能力进行系统评估，帮助企业识别其在安全开发生命周期（S-SDLC）中存在的薄弱环节，并为后续的能力提升提供依据。 ● S-SDLC CMM：Security Software Development Life Cycle Capability Maturity Model，是一种评估企业安全开发能力成熟度的框架。 ● 安全实践：在开发过程中，为应对软件安全所做的努力（这些努力通常是一些具体的事情，如安全需求分析、代码审计、SAST工具集成DecOps流水线、安全检查清单等），这些安全实践有大有小，企业为其付出的成本有高有低，均视为一个或一种安全实践。 ● 安全能力：一组跨越一个或多个实践领域的S-SDLC安全实践，共同为实现统一的安全功能而做的工作。 ● 倡导者：一群对软件安全感兴趣并积极参与的开发人员、云安全工程师、部署工程师、架构师、产品经理、测试人员或参与研发过程中的任何角色，他们对软件安全有浓厚兴趣，并为组织及其软件安全作出努力。 ● 安全域：S-SDLC CMM模型划分为4个安全域，分别是监管、能力、开发过程触点、运维。每一个安全域均定义了企业在某一领域的安全能力。 ● 软件安全开发生命周期（SDLC）：集成了软件安全检查点和安全活动的软件生命周期。 |
2.趋势和见解
2.1.2024年总体趋势
| 2024年，全球安全开发能力建设在不同经济和技术背景下展现出显著的趋势与变化。我们总结了三大核心趋势，这些趋势不仅反映了企业在安全开发方面的策略调整，也揭示了未来发展的关键方向。 |
2.1.1.经济增长放缓带来的投入减少
全球经济增长的放缓对许多行业的安全开发投入产生了直接影响。企业在预算紧缩的情况下，优先考虑短期收益更高的项目，而安全开发工作常被视为长期投入，导致部分企业削减了相关预算。这种现象在中小企业和某些传统行业尤为明显，表现为：
- 安全工具采购和升级放缓。
- 安全开发团队规模缩减或整合。
- 安全培训和意识提升活动减少。
然而，这种投入减少也倒逼企业优化现有资源的使用，更多地依赖开源安全工具和共享社区资源，以弥补资金不足带来的影响。
2.1.2.国际局势紧张推动安全投入增加
与经济增长放缓形成鲜明对比的是，国际局势的紧张使得许多企业不得不加大安全开发的投入。尤其是在关键基础设施、能源、科技和金融领域，企业因应对潜在的网络攻击或供应链风险，显著提高了安全预算。这种趋势表现为：
- 增强供应链安全管理，例如对供应商进行更严格的安全审查。
- 引入高强度的安全监控和威胁建模流程。
- 部署更多的防御工具，如端到端加密、零信任架构等。
此外，跨国企业还需应对不同国家或地区日益严格的网络安全法规，进一步推动了安全开发能力的强化。
2.1.3.新技术崛起引发安全关注
2024年，技术创新依然是推动行业变革的主要力量，尤其是人工智能（AI）的广泛应用，为安全开发带来了新的挑战和机遇。新技术的兴起使得企业必须重新审视安全开发策略，重点关注：
- AI相关的安全漏洞：包括对抗性攻击、数据隐私泄露，以及AI模型本身的安全性。
- 新技术与传统安全策略的融合：如何将区块链、量子计算等新技术应用于现有安全开发生命周期。
- 新兴技术的标准化：企业开始关注如何建立AI领域的安全开发最佳实践和行业标准。
此外，技术进步也为安全开发带来了创新工具，如基于AI的漏洞检测和代码审查工具的普及，进一步提升了安全开发效率。
| 2024年，不同驱动力对安全开发能力的塑造呈现出复杂的多样性。经济压力迫使部分企业减少投入，但国际局势和技术创新则推动了整体安全开发水平的提升。企业需要在资源有限的情况下，平衡长期战略与短期需求，同时紧跟技术发展趋势，打造更具适应性的安全开发能力框架。 |
2.2. 2024年安全发展见解
同时，我们也根据看到的现象总结出2024安全开发能力发展的5点见解，他们分别是，“从“安全左移”到“安全无处不移”、“ DevSecOps带来的安全自动化能力”、“ 强监管下的开源安全治理”、“ 无法回避的软件供应链安全威胁”、“ AI发展带来的安全热点”。
一起看看各行各业的企业在这些领域下有哪些解决办法吧。
2.2.1.从“安全左移”到“安全”无处不移
在软件开发领域，“安全左移”（Shift Left Security）的概念最早出现在敏捷开发和DevOps实践中，旨在将安全控制措施从后期的测试阶段提前到开发阶段，尽早识别和解决潜在的安全问题。这一做法源自传统开发流程中的安全问题被忽视或延迟，常常直到软件发布后才进行全面的安全审查，导致漏洞修复成本高昂，且修复过程往往复杂且耗时。通过“左移”，安全实践能够在代码编写、单元测试、持续集成（CI）等早期阶段得到实现，从源头上减少安全隐患，降低开发成本和后期风险。
然而，随着技术环境和威胁形态的演变，“安全左移”已不再满足现代企业应对复杂安全挑战的需求。特别是面对多元化的攻击手段、日益复杂的系统架构和全球化的网络威胁，单纯将安全实践移到开发阶段并不足以应对新型的攻击方式和安全漏洞。因此，“安全无处不移”成为了更为先进的安全理念，强调安全要覆盖整个组织和开发生命周期的每一个环节，成为企业运营和开发的核心组成部分。
| 软件安全发展历程：从“后期防御”到“前期预防”再到“全局覆盖” 传统安全模式：后期防御 在早期的软件开发过程中，安全往往被视为开发后期的任务。传统的开发方法，如瀑布模型，通常在开发完成后进行单独的安全审查和渗透测试。这种方式的最大问题在于，安全问题往往在开发的最后阶段才被发现，修复漏洞的成本非常高，且可能已经影响到系统的稳定性和其他功能。 安全左移：提前防御 随着敏捷开发和DevOps的普及，“安全左移”成为一种主流做法。安全意识从开发的后期提前到开发的前期，甚至贯穿整个开发生命周期。通过引入自动化的安全测试工具、代码静态分析、威胁建模等技术，开发团队能够在最早期就识别和修复安全漏洞。这个阶段的优势是明显的：安全问题能够被尽早发现，开发和运维团队能够在不影响生产的情况下快速修复，降低后期修改的成本和对业务的影响。 安全无处不移：全局防御与跨部门协作 然而，随着软件开发环境的不断变化，“安全左移”并未能完全解决日益复杂的安全问题。特别是随着云计算、微服务架构、容器化、API集成等新兴技术的应用，企业的技术栈变得更加复杂，安全问题也从开发阶段扩展到了部署、运营甚至供应链等各个层面。“安全无处不移”的理念应运而生，强调在整个软件生命周期的每个环节、每个部门和每个流程中都应嵌入安全意识和措施，安全不再是单一环节的责任，而是整个组织共同参与的任务。 |
2.2.2.DevSecOps带来的安全自动化能力
随着公司全面转型的不断深入，DevSecOps作为一种新的开发和运维模式，已成为推动自动化治理和安全决策的关键力量。DevSecOps强调将安全集成到整个软件开发生命周期（SDLC）中，确保开发、测试、运维和安全团队的紧密协作。在此背景下，自动化工具的成熟和广泛应用，使得公司能够基于安全发现结果自动化地进行决策，从而更高效地管理和减少安全风险。
| 过去一年中，随着DevSecOps的推广，该安全活动有约60%的增长。 |
DevSecOps的核心思想是通过自动化流程和跨职能团队合作，在开发的每个阶段进行安全验证，从而避免了传统开发中安全工作被滞后的问题。企业通过将自动化工具集成到CI/CD流水线中，能够在每个开发和部署环节自动执行安全检查，如静态应用安全测试（SAST）、动态应用安全测试（DAST）以及自动化代码审查等，确保安全性在每个环节都能得到及时响应和修复。
过去，企业常常面临一个难题，即强制执行的安全措施往往不可持续，因为这些措施可能会影响开发效率或导致团队的抵触。而自动化的引入，使得这一障碍得到有效解决。DevSecOps通过将安全措施嵌入开发流程，消除了对强制措施的依赖，并提供了更加灵活和可扩展的安全保障。例如，自动化工具能够在开发早期就发现潜在的安全问题，并通过自动化修复或预警系统快速响应，从而大大降低了手动干预的成本。
自动化的便捷性为公司提供了更高效的安全管理机制，尤其是在代码审查方面。据一些研究报告表明，DevSecOps推动了约68%的项目实现了自动化代码审查，并将其作为强制性要求纳入开发流程。这一变化表明，开发团队越来越倾向于采用自动化工具来检测代码中的安全漏洞，确保每一个代码提交都符合安全标准，而无需依赖于后期的人工审核。通过这种方式，安全不再是开发后的检查点，而是与开发过程深度融合，成为企业文化的一部分。
最后，DevSecOps的引入推动了安全自动化和治理的全面转型，使得安全成为企业开发生命周期中的核心组成部分。这种转型不仅提升了企业应对安全风险的能力，也加快了软件交付的速度，降低了安全漏洞的发生率，帮助企业在提高开发效率的同时确保产品的高质量和高安全性。
| 通过DevSecOps，自动化决策和治理的实施，使得公司能够实时管理风险，并持续优化安全防护。这不仅提升了开发和测试过程的效率，还保障了软件产品在整个生命周期内的安全性。实时风险评估和自动化治理使得企业能够在敏捷开发和快速交付的背景下，保持对安全的有效控制，确保其应对日益复杂的安全威胁。 |
2.2.3.强监管下的开源安全治理
| 中国政府对开源软件安全的重视体现在多个方面。根据等保2.0的要求，关键信息基础设施运营者必须确保其使用的软件符合安全要求，特别是在软件开发生命周期（SDLC）中的安全性管理。 因此，企业在使用开源软件时，不仅需要关注其功能的完整性，还需要对开源组件的来源、版本更新和安全性进行严格的监控和管理。这使得企业在开源软件治理方面面临着新的合规压力。 |
在中国大陆，随着《网络安全法》《个人信息保护法》以及等保2.0等法规的相继实施，企业在软件安全，尤其是数据保护方面面临着日益严格的要求。特别是随着国家对关键信息基础设施的安全要求不断加强，企业必须更加关注使用开源软件带来的潜在安全隐患。例如，开源组件的漏洞可能成为攻击者的突破口，影响整个系统的安全性和稳定性。
对于开源安全治理，一些企业已经采取了积极的应对措施，并在实践中积累了宝贵的经验。以下是一些企业在开源安全治理中的具体做法：
| 开源组件管理平台的引入：一些企业通过引入开源软件组成分析（SCA）工具，如WhiteSource、Snyk、Sonatype Nexus等，自动化检测所有使用的开源组件的安全漏洞和合规性风险。这些平台能够实时监控开源组件的更新情况，并通过持续集成（CI）流水线中的自动化检测，确保每个版本都符合安全标准。 建立开源软件审查制度：许多企业已经开始建立专门的开源软件审查团队，负责对所有引入的开源软件进行安全性评估。通过引入安全专家和合规专家，企业能够对开源组件的来源、版本更新、漏洞历史等进行深入的审查，从而确保合规性和安全性。 漏洞修复响应机制：在一些领先企业中，开源组件的漏洞修复流程已经完全自动化。通过与开源社区的紧密合作，企业能够快速响应已知漏洞，并在CI/CD流水线中集成自动化漏洞修复工具，确保安全漏洞能够在软件交付前及时得到修复。 定期安全培训与意识提升：许多企业通过定期的安全培训提升开发人员和运维人员对开源安全的重视，确保他们了解如何安全地使用开源软件，如何进行漏洞管理和合规性检查。 |
随着监管要求的日益严格，企业必须加大在开源安全治理方面的投入，从审查、漏洞修复到供应链安全等多个维度全方位加强对开源组件的管理。通过自动化工具、严格的审查制度和快速响应机制，企业将能够更好地应对日益复杂的安全风险，确保在合规的框架下实现安全的数字化转型。
2.2.4.无法回避的软件供应链安全威胁
从软件安全发展的历程来看，最初的安全防护措施主要集中在代码审查、漏洞扫描和网络防护等层面。然而，随着软件开发模式的不断演化，尤其是在敏捷开发、DevOps和开源软件普及的背景下，软件供应链的复杂性急剧增加。企业在构建软件系统时，越来越多依赖于第三方代码、开源库、外部服务和供应商提供的技术支持。这种多方依赖的模式，虽然提升了开发效率和创新速度，但也带来了新的安全隐患——供应链中的任何一个环节出现问题，都可能引发连锁反应，导致大规模的安全漏洞。
| 近年来SolarWinds、Log4j等全球知名的供应链攻击事件，暴露了软件供应链在整体安全中的薄弱环节。这些攻击不仅通过植入恶意代码感染了大量企业，还进一步揭示了供应链管理中对第三方代码和组件安全审查的不足。对于中国大陆的企业来说，这一趋势尤为明显，随着越来越多的企业将其核心系统与外部开源组件和第三方服务结合，供应链攻击的风险不断增加。 |
软件供应链的日益复杂和供应链攻击的频发，使得企业必须加强对供应链安全的关注和治理，我们预判的未来的趋势主要体现在以下几个方面：
| 供应链安全治理的全面加强：企业需要将供应链安全治理纳入企业整体的安全战略中，不能仅仅依赖于开发阶段的安全检查。未来，企业将更多地依赖自动化工具，如软件组成分析（SCA）工具和漏洞管理平台，定期扫描和评估开源软件、第三方服务和供应商的安全性。此外，企业还需加强对供应商的安全审查，确保供应链中的每一个环节都能够符合安全合规要求。 安全与合规的深度融合：面对日益严格的法规要求，企业需要在软件供应链安全管理中结合合规性和技术性，建立合规性审查流程，确保所有外部软件和服务符合相关法律和行业标准。通过加强与供应商的合作，企业可以共同制定安全协议，确保在供应链中所有技术和产品都能够符合行业的安全和隐私保护要求。 增强供应链透明度与可追溯性：企业将更加重视供应链的透明度，通过建立详细的供应链清单和审计机制，确保每个外部组件的来源、更新和版本都能够追溯和验证。在未来，企业将采用区块链等技术，提高供应链的透明度，确保每个环节的安全操作可以被追溯和验证。 |
同时，我们也可以看到一些企业正在进行一些积极的防御措施：
| 引入自动化工具进行供应链安全管理： 一些领先的企业已经开始使用软件组成分析（SCA）工具，如Snyk、WhiteSource、Sonatype Nexus等，自动化检测和管理开源软件中的安全漏洞和合规性风险。这些工具能够帮助企业实时扫描开源组件，识别已知漏洞和潜在风险，从而提高供应链管理的效率和准确性。 建立供应链安全审核制度： 一些大中型企业已经建立了专门的供应链安全团队，负责对所有外部依赖和开源组件进行安全审查。企业通常会要求供应商提供安全声明，并对其安全措施和应急响应能力进行评估，确保供应链中的每个环节都符合企业的安全要求。 建立供应商安全评估机制： 许多企业通过第三方安全评估来加强对供应商的安全管理，确保其所提供的软件、服务和技术符合企业的安全标准。例如，企业可以要求供应商进行安全漏洞扫描、代码审查，甚至要求其提供合规性认证，确保整个供应链的安全性。 实施漏洞响应与修复机制： 企业还通过建立漏洞响应机制，快速响应和修复开源组件和第三方服务中的安全漏洞。通过集成漏洞管理平台，企业能够实时跟踪漏洞的公开情况和修复进展，确保漏洞得到及时处理。 |
在软件供应链管理的这个领域，企业可通过使用自动化工具、供应链安全审核和与供应商的安全合作，更加高效地管理外部依赖，降低供应链中的安全风险。同时，也更需要关注法规政策的变化，确保其供应链安全管理符合最新的法律要求。只有建立全面、系统的供应链安全管理机制，才能有效应对日益复杂的安全威胁，保障企业的安全运营与可持续发展。
2.2.5.AI发展带来的安全
在AI技术快速发展的过程中，我们不仅看到了它带来的诸多机遇，也面临着它所引发的安全挑战。AI的发展在推动社会进步的同时，带来了两个重要的安全问题：一方面，AI本身也可能成为攻击的工具，另一方面，AI的应用同样能够增强安全防护，帮助我们应对和缓解安全风险。
| AI本身的安全威胁不容忽视 攻击者利用AI生成更加复杂的攻击手段，尤其是在对抗性攻击（adversarial attacks）方面，AI可以被用来识别系统中的安全漏洞，甚至自动生成攻击代码。此外，AI也为自动化钓鱼攻击、深度伪造（deepfake）和智能化社会工程学攻击等恶意行为提供了更高的精准度和更强的执行能力。这意味着，AI技术在给我们带来效率和便捷的同时，也使得攻击手段变得更加隐蔽、精确，传统的安全防护手段可能无法有效应对这些新型攻击。 | AI也为安全防护提供了强大的支持 AI的智能化和自动化特性，使得它在安全威胁检测、入侵预警、漏洞扫描和自动化响应等领域有了广泛应用。利用机器学习、深度学习和行为分析，AI能够实时监控并分析海量数据，自动识别潜在的安全威胁，并做出快速反应。例如，AI可以在网络流量中快速发现异常行为，实时阻断攻击并提供精准的风险评估。AI的这种能力帮助安全团队更加高效地应对复杂的安全威胁，尤其是在大规模、高频次的网络攻击面前，AI能够提供更为迅速和精准的反应。 |
未来在AI安全防护领域的发展趋势中，企业不仅需要更加注重如何规避AI带来的安全风险，同时要合理利用AI的优势，推动安全防护的智能化和自动化。这就需要企业在使用AI技术时，采取积极的风险管理措施，确保AI的应用不被滥用，并通过不断优化AI防护工具，使其在提升安全防御能力的同时，降低潜在的安全威胁。
中国政府高度重视人工智能在安全领域的应用及其带来的挑战，积极制定相关安全规范和治理框架
| 2024年9月，全国网络安全标准化技术委员会发布了《人工智能安全治理框架》1.0版。 该框架旨在鼓励AI创新发展的同时，有效防范和化解人工智能安全风险，提出了包容审慎、确保安全，风险导向、敏捷治理，技管结合、协同应对，开放合作、共治共享等原则。框架分析了人工智能的风险来源和表现形式，针对模型算法安全、数据安全和系统安全等内生安全风险，以及网络域、现实域、认知域、伦理域等应用安全风险，提出了相应的技术应对和综合防治措施，为人工智能安全开发应用提供了指引。 此外，2024年12月，中国工业和信息化部宣布成立人工智能标准化技术委员会，专注于制定大语言模型、AI风险评估等领域的行业标准。该委员会由包括百度和北京大学在内的41名成员组成，旨在平衡AI领域的监管与发展，推动中国在全球人工智能技术框架中发挥主导作用。 这些举措表明，中国政府正积极应对人工智能在安全领域的应用所带来的新挑战，致力于建立健全相关安全规范和治理体系，确保人工智能技术的安全、可靠、可控发展。 |
利用AI工具应对安全威胁的实践
在实际应用中，许多领先企业已经开始利用AI技术帮助他们应对安全威胁，并在实践中探索了多种应对措施。
| 智能漏洞检测 静态分析：AI 可以通过对源代码进行静态分析来发现潜在的安全漏洞。例如，使用机器学习算法训练模型，让模型学习已知漏洞的代码模式。将新的代码输入模型后，它可以识别出与已知漏洞相似的代码结构。比如，对于缓冲区溢出漏洞，模型可以分析代码中变量的定义、使用和内存分配情况，判断是否存在可能导致缓冲区溢出的操作。 动态分析：在软件运行时，AI 可以监控程序的行为。通过分析程序运行时的系统调用序列、内存访问模式等动态特征，来检测是否有异常行为。例如，利用深度学习中的循环神经网络（RNN）来监测软件运行时的系统调用序列，正常软件的系统调用通常有一定的模式，如果出现异常的系统调用序列（如尝试访问未授权的内存区域），可以及时发现并预警。 威胁情报分析 AI 可以帮助收集、分析和关联来自各种来源的威胁情报。它可以自动化地从网络安全论坛、安全厂商的报告、暗网监测等渠道收集信息。然后，通过自然语言处理（NLP）技术对这些文本信息进行分析，提取关键的威胁指标，如恶意软件的特征、攻击模式等。例如，使用 NLP 模型对安全博客文章进行分析，识别出新型的 SQL 注入攻击手法的详细描述，并将这些信息与企业内部的应用系统进行关联，提前采取防护措施，如对易受攻击的数据库查询接口进行加固。 安全策略自动化 根据企业的安全策略和法规要求，AI 可以协助自动生成和更新安全配置。例如，在云计算环境中，通过分析云服务提供商的安全最佳实践和企业自身的安全策略，AI 可以自动为云资源（如虚拟机、存储桶等）配置安全组规则、访问控制列表（ACL）等。同时，AI 可以持续监控这些安全配置的合规性，一旦发现不符合安全策略的情况（如开放了不必要的端口），及时发出警报并自动进行修复。 |
应对AI技术自身安全威胁的实践
与此同时，AI技术本身也可能成为安全威胁的来源，从安全防护的角度出发，我们也需要注意在使用AI工具的过程中加强对AI技术本身引入的安全风险的防护。
| 对AI模型进行安全评估 对抗性测试：进行对抗性攻击测试来评估 AI 模型的鲁棒性。例如，在图像识别模型中，通过生成对抗网络（GAN）来构造对抗样本，这些样本在人类视觉看来可能与正常图像没有区别，但会使模型产生错误的分类。通过这种测试，可以发现模型的弱点，进而改进模型的结构或训练方法。对于自然语言处理模型，也可以通过构造恶意文本输入来测试模型是否会被误导而产生错误的输出。 模型验证和审计：建立模型验证和审计机制，确保 AI 模型的训练过程和参数是符合安全要求的。在模型训练过程中，记录和审查训练数据的来源、质量和预处理步骤。同时，对模型的参数进行审计，检查是否存在异常的参数值或潜在的后门。例如，如果发现模型的某个神经元的权重被恶意修改，可能导致模型在特定输入下产生错误的输出，通过审计可以及时发现这种情况。 对AI数据进行安全保护 数据隐私保护：在 AI 训练数据的收集和使用过程中，要确保数据的隐私性。采用隐私增强技术，如差分隐私（Differential Privacy），在不影响模型训练效果的前提下，对数据进行噪声添加等处理，使得从模型输出中难以推断出个体数据的信息。例如，在医疗数据用于 AI 辅助诊断模型训练时，通过差分隐私技术，保护患者的个人敏感信息。 数据完整性和真实性维护：建立数据质量监控机制，防止恶意篡改或污染数据。对于用于训练 AI 模型的数据，使用数据哈希等技术来验证数据的完整性。同时，对数据来源进行严格审查，确保数据是真实可靠的。例如，在自动驾驶汽车的 AI 模型训练中，要确保传感器收集的数据（如摄像头图像、雷达数据等）没有被恶意篡改，否则可能会导致模型做出错误的决策。 及时进行安全的AI模型部署和更新 安全的部署环境：为 AI 模型提供安全的部署环境，包括硬件和软件层面。在硬件方面，使用可信执行环境（TEE），如英特尔的 SGX 技术，确保模型在运行时的代码和数据的安全性。在软件方面，采用安全的容器化或虚拟化技术，对模型的运行环境进行隔离，防止恶意软件对模型的攻击。 安全的更新机制：建立安全的模型更新流程，确保更新的模型是经过严格测试和验证的。在更新过程中，采用加密签名等技术来验证更新包的来源和完整性。例如，在智能物联网设备中的 AI 模型更新时，通过验证更新包的数字签名，确保更新是由合法的厂商发布的，并且在传输过程中没有被篡改。 |
AI技术的发展为软件安全领域带来了前所未有的机遇和挑战。随着AI技术的应用逐渐深入，企业必须采取积极的措施，应对AI带来的安全威胁。结合中国大陆的法律法规要求，企业需要在数据隐私保护、AI模型安全性、自动化安全防护等方面加强建设，确保在推动AI发展的同时，有效应对其带来的安全风险。这不仅有助于保护企业自身的安全，也为行业的可持续发展奠定了坚实的基础。
3.具体行业观察
在本章中，我们将向读者展示强监管行业、关键基础设施建设行业和医疗设备出海行业的差距分析数据，其整体数量分布如下图所示：
行业整体成熟度等级分布图
各行业安全能力子域平均成熟度热力图
| 行业整体成熟度等级分布图：展示了每个行业在不同成熟度等级（L1-L5）的企业数量分布。可以看出，强监管行业更多企业集中在L3，医疗设备行业多集中在L2。 各行业安全能力子域平均成熟度热力图：展示了每个行业在不同安全能力子域上的平均成熟度分布。可见「合规性」在强监管行业中表现最优，而「攻击模型」在各行业中均有较低得分。 |
3.1.受强监管行业
我们通过差距分析的数据发现，在强监管行业（如金融和能源）中，安全开发能力的成熟度普遍较高。这些行业因其业务的关键性和高度敏感性，通常受到政府和行业组织的严格监管。金融行业需要保护客户数据和防范金融犯罪，能源行业则需确保基础设施安全以避免大规模社会影响。因此，企业在安全能力建设方面投入更多资源，例如引入更为先进的安全工具和完善的安全管理流程。同时，这些行业的高度合规性要求促使企业在安全开发的各个阶段（如需求分析、测试验证）严格按照标准操作，以降低安全事件的风险。
这种背景下，强监管行业在安全能力上的整体优势更加明显。具体来说，这些行业倾向于通过以下措施提升安全能力：
| 法规驱动： 强监管行业的安全能力提升主要依赖于政府和行业机构制定的严格法规，例如金融行业中的《巴塞尔协议》和能源行业的《NERC CIP》，尤其是中国大陆地区，金融行业属于强监管行业，必须遵守人民银行和银监会相关的政策法规，如《数据管理办法》、《隐私管理办法》等法律法规。 资源投入： 高额的安全预算使企业能够引入高端安全技术，例如人工智能驱动的威胁检测和区块链技术。 人才培养： 强监管行业通常建立完善的安全人才培训机制，从高层管理到基层员工都接受持续的安全教育。 |
3.1.1.安全能力分布
- 从行业整体成熟度分布图中可以看出，强监管行业中达到 L3 及以上级别的企业比例较高，表明这些行业的企业已具备充分定义的安全管理流程；
- 平均成熟度图显示，强监管行业在关键子域（如安全培训、安全需求分析）中得分领先。
3.1.2.强监管行业擅长的安全能力
在监管域中，企业表现最为突出的是“流程与政策”和“合规性”两个子域，超过80%的企业在此领域取得L3以上评分。
在能力域中，“安全设计方案与安全开发组件”和“标准与要求/DevSecOps”表现较为成熟，分别有70%的企业达到L3水平，体现出强监管行业对软件开发安全流程的高度重视。
在触点域，虽“安全设计”子域的平均评分较高，但该项的安全实践中对自动化工具的利用仍存在提升空间，仅有25%的企业实现安全设计工具自动化集成进入DevSecOps中。
在运维域，“渗透测试”和“应急响应”表现较好，超过60%的企业评分达L3，但在“运维支持”方面，整体仍停留在L2阶段，亟待进一步量化管理水平提升。
3.2.关键基础设施行业
关键基础设施行业（如电力、交通）因其对国家安全和社会稳定的重要性，对安全开发能力有独特要求。这些行业通常涉及高度复杂的技术基础设施，容易成为网络攻击的目标，且攻击可能带来严重的社会后果。此外，政府和行业监管部门对关键基础设施行业提出了严格的安全合规要求，例如实施多层防御体系和实时监控机制。
这种监管环境促使企业必须投入大量资源建设安全开发能力，包括建立完善的安全管理制度和引入先进的安全技术。以下是关键基础设施行业安全开发能力的主要特征：
| 行业复杂性： 电力和交通行业的技术系统高度复杂，例如工业控制系统（ICS）和物联网（IoT）设备的广泛应用，带来了新的安全隐患。 高攻击风险： 关键基础设施行业是高级持续性威胁（APT）攻击的主要目标，虽然从中国大陆地区来看还没有展现出高风险攻击的危险性，但从全球范围来看，全球的关键基础设施行业攻击非常频繁，这对人民的日常生活秩序造成了非常大的震撼。 供应链安全： 该行业高度依赖第三方供应商，供应链漏洞可能导致重大安全事件。 |
3.2.1.安全能力分布
- 数据表明，关键基础设施行业的企业大多集中在 L2 和 L3 级别，说明流程标准化仍需加强，但已在计划跟踪上具备一定能力。
- 热力图显示，这些行业在安全管理制度方面表现优异，但在安全知识库建设上稍显不足。
| 特点与趋势 特点：多层防御体系、实时监控和响应、供应链安全管理。 趋势：全球标准化推进、智能化监控系统、工业物联网（IIoT）安全技术应用。 |
3.2.2.关键基础设施行业近些年的重大安全攻击事件
| 事件名称 | 发生时间 | 事件描述 |
| 巴西电力公司遭Sodinokibi勒索软件攻击 | 2020年6月 | 巴西的电力公司Light S.A被黑客勒索1400万美元的赎金 涉及漏洞，Windows Win32k组件中CVE-2018-8453 |
| 欧洲能源巨头EDP公司遭勒索软件攻击 | 2020年4月 | 葡萄牙跨国能源公司（天然气和电力）EDP（Energias de Portugal）遭Ragnar Locker勒索软件攻击，赎金高达1090万美金 目前针对Ragnar Locker勒索软件加密文件尚无法解密 |
| 印度核电站内网感染恶意软件 | 2019年9月 | 印度核电公司（the Nuclear Power Corporation of India Ltd，简称NPCIL）证实，印度泰米尔纳德邦的Kudankulam核电站（简称KNPP）内网感染了恶意软件 |
| 乌克兰某核电厂发生重大网络安全事故 | 2019年7月 | 乌克兰南部的Yuzh-noukrainsk市附近的核电站出现严重安全事故，数名雇员将核电厂内部网络连上了公共网络，以供其挖掘加密货币 |
| 委内瑞拉电力系统两年内遭遇多次网络攻击导致大规模停电事故 | 2019年3月-2020年5月 | 委内瑞拉电力系在2019年到2020年内多次遭到网络攻击，出现多次大范围停电事件，全国大部分州都受到了影响。委政府官员指出，停电原因是古里水电站遭反对派蓄意进行网络攻击所致的破坏。 |
| 南非约翰内斯堡电力公司遭勒索软件攻击 | 2019年7月 | 南非最大的城市约翰内斯堡发生了一起针对City Power电力公司的勒索软件攻击，导致若干居民区的电力中断。 攻击使得预付费用户无法买电、充值、办理发票，或访问City Power的官方网站。根据网络攻击的类型和严重程度，受影响的服务和网络的完全清理大概需要数周时间。 |
| 黑客利用思科防火墙中的已知漏洞针对美国电力公司发起拒绝服务 (DoS) 攻击 | 2019年3月 | 黑客利用思科防火墙中的已知漏洞针对美国犹他州的可再生能源电力公司发起了拒绝服务 (DoS) 攻击。 事件影响了加利福尼亚州（克恩县和洛杉矶县）、犹他州（盐湖县）和怀俄明州（Converse County） 这导致该组织的控制中心和其各个站点的现场设备之间的通信中断 |
| 法国公司Ingerop遭网络攻击导致费森海姆核电站（Fessenheim）敏感数据泄露 | 2018年6月 | 黑客窃取了法国公司Ingerop逾65G文件，这些文件包括核电站计划和千余名Ingerop工作人员的个人信息等内容。 若此类数据落入恶人之手，将把该核电站及公司员工置于恐怖主义阴谋等诸多威胁之下。 |
| 西门子设备存在严重漏洞，导致变电站易遭攻击 | 2018年3月 | 2018年3月，研究人员发现西门子继电保护设备存在多个严重漏洞，可能导致变电站和其他供电设施易遭黑客攻击。 涉及漏洞： 高危漏洞 CVE-2018-4840 中危漏洞 CVE-2018-4839 高危漏洞 CVE-2018-4838 |
| 俄黑客对美国核电站和供水设施攻击事件 | 2018年3月 | 美国计算机应急准备小组发布了一则安全通告TA18-074A，详细描述了俄罗斯黑客针对美国某发电厂的网络攻击事件。 本次攻击的主要目的是以收集情报为主，攻击者植入了收集信息的程序，该程序捕获屏幕截图，记录有关计算机的详细信息，并在该计算机上保存有关用户的信息。 |
3.3.医疗行业
3.3.1.医疗行业安全数据分析
医疗行业在快速推进数字化转型的过程中，面临严峻的网络安全威胁。由于医疗数据的高价值和医疗系统的复杂性，行业频繁遭遇勒索软件攻击、数据泄露等问题。此外，诸如GDPR、HIPAA等法规的严格要求进一步推动企业提升安全开发能力。然而，医疗行业整体的软件安全开发能力仍存在明显的分化。
基于对33家医疗行业公司的S-SDLC CMM差距分析，数据显示：
3.3.1.1.能力分布
29% 的公司处于 L1 级别（不成熟级），缺乏正式的安全开发流程，安全活动主要依赖个人经验，难以满足基本的安全需求。
56% 的公司处于 L2 级别（重复级），初步建立了安全流程，但大多停留在重复性操作阶段，未形成系统化标准。
12% 的公司达到了 L3 级别（定义级），这些企业已经构建了全面的安全开发流程，并将其体系化推广。
3% 的公司处于 L4 级别（量化管理级），能够通过数据和指标监控流程效果。
没有公司达到 L5 级别（优化级），显示出医疗行业在持续改进和优化安全流程方面的不足。
3.3.1.2.子域能力表现
- 医疗行业在 “合规性管理” 和 “安全需求管理” 子域表现相对较强，这与其面临的严格法规要求密切相关。（请查看本章节要点“医疗行业严格的法规要求”）
- 在 “安全事件响应” 和 “威胁建模” 子域能力方面则较为薄弱，超过 60% 的公司缺乏威胁建模能力，导致无法系统性地识别和缓解潜在风险。
- 对 “培训”尤其是安全意识类型培训的投资相对不足，进一步限制了中小企业提升安全开发能力的空间。
医疗行业严格的法规要求
在今年我们观察到越来越多的医疗制造类型企业出海进入国际市场，因这些市场的准入要求，医疗设备的使用直接影响患者的生命安全，因此各国对医疗设备的安全要求极为严格，例如欧盟的 MDR（医疗器械法规）和美国的 FDA（食品药品监督管理局）要求。这也迫使这些企业面临非常严格的合规要求，仅从我们观察到的案例来看，FDA认证和相关设备的安全措施已经是他们必须要面对的安全课题。
我们观察到案例：
| 某医疗设备制造企业通过自动化工具对每款设备的远程管理接口进行严格的安全审查，确保远程访问符合FDA的安全标准。 某医疗设备出口企业加强了数据加密和远程设备管理的安全性，通过对所有传输数据进行端到端加密，确保病人的敏感信息不被泄露。 |
4.未来分析和预测
结合当前AI引发软件安全行业变革、供应链安全管理、开源软件治理等多个热点问题，在未来，软件开发安全将不断进化，自动化、智能化、合规性和供应链管理将成为行业发展的主流趋势。
随着新兴技术的应用和网络威胁的不断升级，企业需要在不断创新的同时，加强对安全的关注，推动软件开发安全的全面提升。通过增强安全意识、强化合规性管理、利用先进的自动化工具以及应对新兴威胁，未来的软件开发将不仅仅是技术实现的过程，更是一个安全优先的持续创新过程。
4.1.AI智能化的进一步发展
随着技术的不断进步，软件开发安全的未来将呈现出更加自动化和智能化的趋势。现有的手工安全检测和修复方法已经难以应对日益复杂的安全威胁，自动化工具和人工智能（AI）的应用将成为未来软件开发安全领域的核心动力。
4.1.1.AI助力DevSecOps智能化
以往，在不同的开发场景下，流水线编排往往需要人工依据经验进行复杂的配置与调整，不仅耗时费力，还容易因人为疏忽出现错误。而随着 AI 技术融入，情况有所改善。在日常的功能迭代场景中，AI 能够根据过往项目数据以及实时的代码变更情况，自动编排最优的流水线，确保新功能在开发、测试与部署等环节高效流转，同时保障安全检测的全面覆盖。
在应对突发的安全漏洞修复场景时，AI 可以迅速分析漏洞的性质、影响范围以及相关代码模块，智能地调整流水线，优先安排紧急修复任务，以最快速度将安全补丁推送到生产环境，极大提升了软件安全开发的应急响应能力。这种在不同场景下实现的 AI 编排智能化，正重塑着 DevSecOps 的运作模式，推动软件安全开发行业迈向更高水平 。
4.1.2.AI驱动的安全检测与响应
随着机器学习和深度学习技术的发展，AI将在威胁检测和响应领域扮演越来越重要的角色。AI能够通过实时分析大量数据，识别潜在的安全漏洞和异常行为，甚至在攻击发生之前就能够预判和防止威胁。随着AI算法的不断优化，未来的安全系统将更加智能，能够在没有人工干预的情况下自主作出决策，进行自动化的漏洞修复和威胁响应。
4.1.3.人形机器人安全场景
近年来，人形机器人行业呈现快速发展态势。随着人工智能技术的飞速进步，特别是大模型技术的突破，人形机器人的智能化水平和自主能力显著提升，为其商业化应用提供了关键支撑。传感器、丝杠、电机、减速器等核心部件的技术进步，降低了制造成本，提高了应用性能。根据预测，2024年中国人形机器人市场规模预计将达到27.6亿元，市场处于起步阶段但增长迅速。
随着技术的不断突破和市场需求的增加，人形机器人市场规模在未来几年内将迎来显著的扩张和商业化突破。预计2025年是人形机器人商业化元年，2027年是人形机器人一般场景大规模商业化元年。人形机器人将逐步从工业应用扩展到服务业、医疗、教育等领域，成为社会重要助手。
| 头部公司与业务布局 以下是2024年人形机器人行业的部分头部公司及其业务布局： 优必选科技 成立于2012年，专注于人形机器人研发和生产。其Walker系列机器人在运动能力和人机交互方面取得了显著进展，已实现小批量应用。 特斯拉（Tesla） 其Optimus人形机器人计划在未来3-5年内实现量产上市，产量可达百万级，价格控制在2万美元以内，主要应用于工业领域。 小鹏汽车 发布了全新AI人形机器人Iron，已在广州工厂初步实践，计划在生产线上应用。 智元机器人 宣布开启通用机器人商用量产，年度计划产量为962台，主要应用于工业制造领域。 傅利叶智能 其通用人形机器人GR-1已量产交付超过100台，应用于医疗康复等领域。 宇树科技 知名机器人网站The Robot Report整理了北美机器人市场年度十大热点话题，其中超过一半涉及人形机器人，而宇树科技作为唯一一家中国企业名列其中。 |
尽管人形机器人行业在2024年呈现出蓬勃发展的势头，广泛应用于工业制造、医疗康复、家庭服务等多个领域，但其背后隐藏的严峻软件安全威胁不容忽视。机器人依赖海量数据采集和高频网络通信，容易成为数据泄露和隐私侵犯的重灾区；同时，AI算法容易遭受对抗攻击和数据中毒，可能导致错误决策或失控行为。此外，系统漏洞、通信篡改和物理攻击等问题也为恶意攻击者提供了可乘之机。一旦安全防护不足，机器人不仅可能对用户的隐私和安全造成直接威胁，还可能被利用为恶意行为的平台，甚至引发社会和经济层面的严重后果。因此，加强人形机器人软件安全的研究与防护已成为行业发展的关键议题之一。
人形机器人领域的安全风险
| 1. 数据泄露：人形机器人在执行任务过程中会采集大量敏感数据，如人脸、语音、位置信息等，这些数据如果未得到有效保护，可能被不法分子获取，导致隐私泄露。 2. 通信漏洞：机器人与云端或其他设备的通信可能被截获或篡改，导致数据被窃取或指令被恶意修改，影响机器人正常运行。 3. 算法攻击：对抗样本攻击和模型数据中毒等手段可能使机器人的AI模块产生错误判断，执行错误操作，甚至危害人类安全。 4. 系统劫持：通过漏洞利用或恶意软件，攻击者可能控制机器人的核心功能，导致机器人被用于非法目的。 5. 物理攻击：通过硬件接口或传感器注入虚假信息，可能干扰机器人运行，甚至造成物理伤害。 |
尽管人形机器人行业面临着严峻的软件安全威胁，但我们始终相信，技术的发展和进步离不开安全的保障。未来，我们将持续跟踪并深入研究该领域的安全挑战，关注行业内领先企业的安全解决方案，并积极与相关企业、学术机构和标准组织合作，共享安全实践和经验。通过共同努力，我们期望推动建立更加安全、可信的人形机器人生态，为行业的可持续发展奠定坚实的基础，同时为社会创造更大的价值。
4.2.法规与合规性的要求的日益严格
随着数据隐私保护和软件安全事件频发，法规要求和合规性管理将在未来的软件开发安全中发挥更为重要的作用。尤其是在欧美等地区，隐私保护和软件安全的法规逐渐趋严，中国大陆也在不断加强相关法律的制定和执行。
- 全球合规压力增加：随着GDPR、CCPA、PIPL等隐私保护法的实施，企业在软件开发中需要更加注重数据隐私保护。未来，企业不仅要确保其产品符合本地法规，还必须应对跨境数据流动的合规挑战。各国之间的法规差异可能使得企业在全球化软件开发中面临更加复杂的合规压力。
- 监管机构对安全的要求加大：除了隐私保护法规，政府对于关键基础设施、金融、电力等行业的软件安全性要求也会逐渐提高。特别是对于涉及国家安全的行业，安全合规性将不再是选项，而是强制要求。这些法规将推动企业加强软件安全的治理体系，确保所有开发、测试和部署环节都符合严格的安全标准。
4.3.供应链安全管理的加强：未来软件开发安全的关键组成部分
随着企业对第三方软件、开源组件、云服务和外部API的依赖不断增加，供应链攻击的风险日益加大。供应链攻击不仅威胁到企业自身的安全，也可能引发对客户、合作伙伴乃至整个行业的广泛影响。供应链安全管理的加强，是企业防范高级持续性威胁（APT）、恶意软件传播和数据泄露等多种安全风险的关键。
- 全面供应链审计与风险评估：企业将更频繁地进行自动化供应链审计，对所有外部软件组件、开源代码、第三方API、供应商服务进行深入的安全审查。这些审计将通过软件组成分析（SCA）工具来识别已知的安全漏洞，帮助企业及时发现和管理潜在的安全风险。通过供应链风险评估平台，企业可以定期检查所有供应商的安全合规性，确保其不引入安全隐患。
- 自动化的安全修复与应急响应机制：供应链的安全管理将不仅仅依赖于漏洞的检测，更要依靠自动化修复和响应机制。未来，企业将通过集成自动化漏洞扫描工具与SIEM系统（安全信息与事件管理系统），一旦发现供应链中的漏洞，将自动触发修复流程并采取应急措施，防止漏洞扩散。企业还将利用AI技术来优化漏洞响应流程，通过智能化决策快速反应。
- 供应商安全合规性与透明度要求：企业将要求所有供应商，特别是涉及核心业务的供应商，提供安全合规性报告，并定期进行安全审查。随着供应链透明度和可追溯性的提高，企业将利用区块链等技术，确保每个供应商提供的组件、服务和软件都能被追踪和验证。这种透明化将减少潜在的安全漏洞，确保所有供应链参与者遵守统一的安全标准。
- 跨部门与跨组织协作的加强：未来，供应链安全的管理将不再局限于IT部门，而是需要跨部门、跨组织的合作。安全团队、合规团队、采购部门和开发团队需要共同合作，建立起跨部门的供应链安全审查机制。企业将更加注重与供应商、合作伙伴之间的安全沟通与信息共享，通过建立标准化的安全协议和合作机制，确保整个供应链中每个环节都具备强有力的安全防护。
企业如何应对供应链安全管理的挑战的建议
| 方针 | 措施 | 建议 |
| 软件供应商管理 | 供应商资质审核 | 企业应当对软件供应商进行严格的资质审查，包括软件供应商的开发能力、安全认证（如 ISO 27001 信息安全管理体系认证）、行业信誉等。 |
| 供应商持续监控 | 持续监控供应商的安全状况。要求供应商定期提供安全报告，包括软件漏洞修复情况、安全事件响应措施等。 | |
| 签订合同与协议保障 | 与软件供应商签订详细的合同和安全协议，明确软件安全标准、知识产权归属、数据保护责任等条款。 | |
| 增强软件供应链透明度 | 分析软件成分 | 企业要对软件的成分进行详细分析，包括软件所依赖的第三方库、开源组件等。通过 SCA 工具，能够识别软件中的各个组件及其版本，并且可以发现已知的安全漏洞。 |
| 建立软件供应链图谱 | 建立软件供应链图谱，清晰展示软件从源代码开发到最终交付的整个过程，包括各个环节所涉及的供应商、组件、工具等信息。这有助于企业在出现安全问题时，快速定位问题来源。 | |
| 建立软件安全信息共享机制 | 企业内部要建立软件供应链安全信息共享机制，使不同部门（如采购部门、开发部门、安全运营部门）能够及时交流软件供应商的安全信息。例如，采购部门在得知某软件供应商出现数据泄露事件后，能够迅速将信息传递给开发部门和安全运营部门，以便他们评估该事件对企业现有软件系统的影响，并采取相应的防范措施。 同时，与行业协会、安全研究机构等外部组织建立合作关系，共享和获取软件供应链安全信息。 | |
| 应急响应与持续改进 | 制定应急响应计划 | 企业要制定软件供应链安全事件应急响应计划，明确在发生软件安全事件（如软件供应商遭受黑客攻击、软件出现严重漏洞等）时的应对流程。包括事件报告机制、应急处理措施（如暂停使用问题软件、进行软件回滚等）、恢复计划等。 同时，定期进行应急演练，提高企业应对软件供应链安全事件的实战能力。演练可以模拟各种软件安全事件场景，检验应急响应计划的有效性，同时也可以让相关人员熟悉应急处理流程。 |
| 持续改进机制建立 | 建立软件供应链安全管理的持续改进机制，定期对安全管理措施的有效性进行评估。根据评估结果，调整和优化安全管理策略和流程。 |
4.4.开源软件安全的重视
开源软件的广泛应用让开发者能够更快速地构建产品。然而，开源组件的安全问题逐渐成为软件安全中的一个重点。随着开源软件被广泛采用，未来软件开发的安全策略将更加注重如何管理和使用这些开源组件，确保它们不成为安全漏洞的源头。
- 开源软件治理的加强：企业将更加注重开源组件的安全审查和管理，特别是在引入第三方开源代码时，需要对其进行详细的漏洞扫描、安全审计和合规性检查。为了有效管理开源安全，许多企业将在开发流程中引入软件组成分析（SCA）工具，通过自动化工具定期扫描并报告开源组件中的安全漏洞。
- 合规性与版权管理：除了安全问题，开源组件的版权问题和许可证合规性也将成为企业关注的焦点。企业必须确保使用的开源代码符合相应的许可证要求，并避免因使用不合规的开源软件而导致法律风险。
4.5.新兴威胁与攻击手段的增加
随着网络攻击手段的日益复杂，未来的软件开发安全将不得不面对新型威胁。随着AI、物联网（IoT）、5G等新技术的广泛应用，攻击者也将更加灵活地利用这些新兴技术进行攻击。未来，软件开发安全的防护不仅仅需要应对传统的安全漏洞，还要应对新兴技术所带来的安全挑战。
- AI驱动的攻击与防护：正如前述，AI不仅是增强防御的工具，它同时也是攻击者可以利用的新武器。对抗性攻击（Adversarial Attacks）和AI生成的恶意软件将是未来攻击的重要形式。AI能够使攻击变得更加隐蔽和智能，传统的基于规则的检测方式将很难有效应对这些智能化的威胁。因此，未来的软件安全开发将更多依赖于AI驱动的安全防护技术，以应对更加复杂的安全挑战。
- 供应链攻击的高发：随着更多企业依赖第三方供应商和开源软件，软件供应链攻击将成为未来的一大安全隐患。供应链中的漏洞可以导致大规模的安全泄露，甚至影响到整个行业。因此，供应链安全管理将成为未来软件开发安全的重点之一。
4.6.人员与文化的变革：安全意识的普及与培训
软件安全不仅仅是技术层面的挑战，更是文化和组织管理的挑战。未来，安全文化的建设将成为软件开发安全中的重要组成部分，特别是在开发人员、运维团队和管理层之间的安全意识普及和跨部门协作将成为企业成功应对安全威胁的关键。
5.附录A：S-SDCL CMM软件安全成熟度模型
S-SDLC CMM覆盖了软件开发全生命周期，展示了最佳安全实践。该模型不仅可以用于评估组织软件安全开发体系建设真实水平，还可作为改进组织软件安全开发体系的落地参考框架。
6.附录B:S-SDLC差距分析服务
差距分析服务是基于开源网安软件安全开发能力成熟度模型（S-SDLC CMM）对企业安全能力进行综合的评估服务。差距分析服务覆盖了软件开发全生命周期流程中全部流程和关键要素，对标最佳实践方法指出组织当前存在差距，基于S-SDLC CMM模型的评估，可以反映组织软件安全开发体系建设的真实水平，并可作为组织改进软件安全开发体系的落地参考。