随着对第三方软件供应商和开源软件的依赖日益加深，企业在保障其软件环境安全方面面临艰巨挑战。
SolarWinds等重大安全事件凸显了受损软件依赖项可能造成的毁灭性影响。
尽管监管已成为应对漏洞的关键推动力，但组织必须采取积极主动的策略，借鉴最佳实践和过往事件的经验教训。
随着互联互通程度不断提高和创新快速推进，各组织对软件产品、服务和供应商的依赖日益加深。现代软件应用极少完全由定制代码构建，而是集成了多种开源组件、API、库、插件、配置和云基础设施。开源软件（OSS）目前约占任一给定软件包的70%至90%。
这种日益增长的依赖增加了复杂性，削弱了对软件环境的直接控制，并引入了新的安全漏洞。在当今数字化世界中，这些挑战已从IT领域延伸至运营技术和工业系统，加剧了能源、医疗保健以及食品和农业等关键基础设施行业的风险。
近年来备受关注的软件供应链安全漏洞凸显了复杂相互依赖关系的风险，暴露出可能引发整个生态系统中断的隐患。2019年，SolarWinds安全事件影响了超过30,000家组织，包括多个美国政府机构。该事件常被视为历史上最重大的网络安全事件之一，攻击者入侵了SolarWinds的开发环境，并将恶意代码嵌入分发给全球数千名客户的软件更新中。平均而言，受影响企业损失了其年营收的11%。
2024年7月的IT故障进一步凸显了供应链事件的破坏潜力。一款基于云的安全软件的有缺陷更新，导致850万台Microsoft Windows设备出现故障，影响了全球范围内的航空公司、银行、广播机构、医疗系统和支付基础设施。
高知名度的软件供应链安全事件数量众多，其中包括臭名昭著的Log4j和MOVEit漏洞，这些事件均凸显了受损软件依赖项可能产生的深远连锁影响和严重后果。
保障软件供应链安全的主要挑战
现代软件依赖于由相互关联的组件构成的网络。单一受损的依赖项可能在整个生态系统中引发连锁安全问题。《2025年全球网络安全展望》表明，复杂供应链相互依赖所产生的漏洞是企业和网络安全领导者的首要关切。事实上，即使是安全措施健全的组织，也难以有效管理和监督这些依赖关系。主要挑战包括：
第三方薄弱环节。第三方供应商的安全实践薄弱，可能使整个供应链暴露于风险之中。如果某个第三方遭到入侵，它可能成为恶意行为者进入其全部客户网络的入口。
开源组件中未修补的漏洞。开源组件可能包含仍未修补的已知漏洞。一项研究显示，84%的代码库包含至少一个已知开源漏洞。此外，对开源组件维护不足，可能导致其过时并易被利用。
恶意代码植入。开源软件生态系统的开放性可能使其成为蓄意植入恶意代码的攻击者的目标。这可能在软件源头或分发过程中危及软件安全。
AI数据投毒。在近期的讨论中，AI数据投毒已被与传统软件供应链攻击相提并论。随着AI应用日益普及，许多组织依赖外部开发和训练的模型，而这些模型可能易受“数据投毒”攻击。此类攻击发生于威胁行为者破坏训练数据时，从而危及AI的输出结果，并可能影响组织内部相互关联的系统。
监管作为提升韧性的驱动力
监管一直是提升软件供应链韧性的重要驱动力。据《2025年全球网络安全展望》显示，78%的首席信息安全官和87%的首席执行官将改善安全态势和降低网络风险视为采用新法规的主要动因。
在全球范围内，监管机构和政策制定者已加快落实有关认证、报告和问责的要求，从而增强整个软件供应链的信任与韧性。《欧盟网络韧性法案》（CRA）例如，该法案要求进行第三方供应商评估、持续软件监控、漏洞扫描以及透明的软件物料清单（SBOM），对不合规行为的处罚最高可达1500万欧元或企业全球营收的2.5%。在美国，第14028号行政令要求执行安全开发实践，并配套由NIST和CISA等机构制定的标准。
保障软件供应链安全的行动
然而，要有效应对软件供应链问题，组织需要超越监管合规，采取积极主动的策略，借鉴最佳实践和过往事件的经验教训。已被证明至关重要的行动包括：
安全编码实践。为降低内部开发风险，关键在于落实基础原则，以最大限度减少漏洞，并将安全融入开发流程，使软件能够抵御潜在威胁。确保所有开源组件均来自可信来源，并制定其使用准则。需明确软件安全的责任归属，并建立问责机制，以确保开发人员遵循安全编码实践。
软件物料清单（SBOM）。为提升 透明度与可见性，SBOM提供软件中所用全部组件的完整清单，最终有助于组织识别潜在安全风险。
持续监控。关键在于定期扫描漏洞，并确保所有软件组件保持最新。AI可在此方面发挥有益作用，用于主动监控、识别漏洞、尽早发现威胁，并减轻往往损害安全开发实践的上市时间压力。
加强供应商管理与风险评估。组织必须实施健全的供应商管理实践，开展全面的风险评估，并确保第三方供应商遵守严格的安全协议。定期审计以及主动评估和监控是降低潜在风险的关键。限制对软件供应链敏感环节的访问，可进一步降低未经授权访问的风险。
树立韧性思维
尽管这些实践可以降低事件发生的可能性，但现实是，即使是最安全的组织也无法完全防止软件供应链漏洞事件。在第三方方面尤其如此，要完全消除或充分降低广泛供应商网络中的风险通常是不可行的。
世界经济论坛如何应对全球网络安全挑战？
网络安全中心为各方领导者提供可信赖的平台，共同理解不断演变的网络风险及其系统性影响。该中心致力于在日益互联的数字世界中建立理解与信任。
通过促进跨行业合作与洞察共享，该中心帮助合作伙伴增强网络韧性，应对需要集体应对的挑战。
然而，组织可以通过采取网络韧性方法降低事件影响。通过预判并规划软件供应链事件，组织可利用一整套综合方法工具，以便尽快做好准备、检测、抵御并恢复，最终将停机时间降至最低，保护关键资产（包括利益相关方信任、声誉和财务绩效），并实现长期增长。
最终，面对日益增长的软件供应链风险，构建强有力的网络韧性已成为组织有效应对当前及未来网络挑战的关键。
