自2008年發布第一版BSIMM（軟件安全構建成熟度模型）以來，新思科技這一旨在幫助企業規劃、執行、評估和完善其軟件安全計劃（SSI）的免費開放模型已經迎來了第11個版本--BSIMM11。

在今天的BSIMM11媒體溝通會上，新思科技軟件質量與安全部門高級安全架構師楊國梁介紹稱，BSIMM反映了數百家企業的真實實踐，是一種基于科學的觀點的描述型模型，能夠為企業的軟件安全方案提供指導參考，并且作為一項免費及開放的標準，廣泛適用于各行業，可以評估任一軟件安全方案。

“2008年我們發布BSIMM第一個版本時，其中只有9家公司。今天發布的BSIMM11則包含了我們觀察到的130家公司的軟件安全活動，覆蓋多個垂直行業，包括金融服務、金融科技、獨立軟件供應商（ISV）、云、醫療保健、物聯網、保險及零售等。”楊國梁告訴我們，BSIMM非常注重數據的“新鮮度”。

他談到，從2008年開始，新思科技大概對共計211家企業展開過約500次以上的BSIMM測評，但BSIMM11版本里卻僅有130家企業。這是因為如果一家公司超過一定時間沒有再做新的BSIMM評估，新思科技就會把這家公司從其數據池中給移出去。因為一定時間之前做的評估中的活動，可能在新的版本中已經不具備代表性。同時，新思科技也會根據市場動態增加或刪除進行參考和統計的安全活動。

據介紹，BSIMM可以作為企業衡量軟件安全的標尺，他們可以將自己的軟件安全計劃與BSIMM社區的數據進行比較。在BSIMM報告中，會有一個反映全球不同領域企業（最新版本中，金融服務、獨立軟件供應商和云領域的企業占比最高）在12個具體實踐維度中3個Level上平均水平的蛛網圖，企業可以參照這張圖對自身的安全性成熟度進行比較評估。

BSIMM11報告發現的新趨勢包括：

·工程技術導向的軟件安全工作正在成功地為實現彈性的 DevOps 價值流貢獻力量。BSIMM11表明，持續集成和持續交付（CI/CD）工具和運維編排已成為一些企業軟件安全方案的常規操作，并且正在影響SSI的組織、設計和執行方式。例如，軟件安全團隊越來越多地向技術小組或首席技術官匯報工作（而不是IT安全團隊或首席信息安全官），并且正在改變內部招募和組織人才的方式。

·軟件定義的安全管理不再僅僅是一種愿景。企業采用由CI/CD管道執行中的事件觸發的自動化活動替代一些摩擦性高的帶外（out-of-band）數據安全活動。將人員流程和決策轉換為算法是企業越來越多地解決資源約束和節奏管理問題的方法之一。

·安全“左移”變為“無處不移”。“左移”概念的實現已從在軟件開發周期中較早地執行一些安全測試的字面解釋演變為在有待檢查的工件可用時立即執行安全活動。這可能意味著在過去我們認為在左側（較早期）的安全測試現在大多數情況下可能是在右側（偏后期，包括生產階段）。

·在BSIMM里引入金融科技垂直行業的數據。在仔細審查了金融行業中不斷增長的公司數據池后，很明顯，有必要添加一個專門面向金融服務的ISV單獨的垂直行業。

“每家企業都需要明確的軟件安全方案來聚焦工作。敏捷、CI/CD或DevOps，既不是軟件安全的原因，也不是解決方案。我們認為，軟件安全需要不同團隊的共同努力，也即DevSecOps。”楊國梁說到。事實上，BSIMM11報告表明，許多企業正在調整其軟件安全計劃，以支持數字化轉型和DevOps等現代軟件開發范例。

據介紹，在過去的一年中，添加到BSIMM10中的三個活動取得了驚人的增長（SM3.4 集成軟件定義生命周期管理、AM3.3 監控自動化資產創建工作和CMVM3.5 自動驗證運營基礎運維安全性）。這反映了一些企業如何積極加速軟件安全工作，以適應軟件交付的速度。此外，BSIMM11中添加的兩個活動顯示了這一趨勢在延續（ST3.6 自動實施事件驅動的安全性測試，CMVM3.6 發布可部署工件的風險數據）。這些新的活動代表著向DevSecOps的轉變。

目前，云、物聯網和高科技公司是BSIMM11數據池中最成熟的三個垂直行業。BSIMM11還強調了三個受到高度監管的行業之間的差異：金融服務、醫療保健和保險。金融服務行業比其他行業更早地組建軟件安全團隊，因此，與醫療保健和保險行業相比，擁有更為成熟的軟件安全實踐。BSIMM首次歸納金融科技行業的數據，并發現它與金融服務的追蹤非常接近，主要的差異（有利于金融科技）體現在培訓、安全測試和代碼審查實踐中。

“企業軟件安全成熟度與其軟件安全小組成立的時間，在某種程度上呈現一種正相關關系。一般來說，越早成立軟件安全小組，或者在軟件安全小組上花越多的時間，企業的軟件安全成熟度就會越高。”楊國梁解釋道。

而當我們問及安全由“左移”變為“無處不移”對于企業來說意味著什么時，楊國梁強調，左移目前還是一個比較好的方法論，根據新思科技與中國一些客戶的交流，其實他們在整個開發過程中，能夠做的比較有效的安全活動還不是很多。如果從投入產出比的角度來看，他建議企業先把左移做好，之后再進行其他可行實踐。
責任編輯:pj