软件供应链成为世界各国之间互相制约与竞争的重要手段，技术封锁和出口管制严重影响软件供应链完整性。软件供应链事件影响范围巨大，如Xcode非官方版本恶意代码污染事件、远程终端管理工具Xshell后门事件、开源组件Fastjson反序列化漏洞等。国家对软件供应链的自主可控、安全高效提出更高的要求。

软件复杂化导致供应链过长，引入风险环节多，增加安全检测和维护的难度。软件供应链使风险得以自上而下扩散，上游供应商软件、开源组件、服务漏洞等，任何小问题都可能酿成重大缺陷。攻击面的扩大降低攻击者的攻击难度，容易引起联锁反应。购买商业软件或外包开发通常疏于对安全的验收，设计缺陷、深层次漏洞难以发现。

各个安全软件之间相互割裂，情报数据无法汇总，风险挖掘不及时。现有软件供应链解决方案覆盖不全、自动化程度低、脱离实际业务，无法有效发挥作用。敏捷开发下对自动化程度要求高，安全无法融入开发环节，导致软件供应链安全管控缺失。

在软件运营期间，持续检测开源软件的漏洞情况，一旦发现严重漏洞应尽快定位影响范围，并采取应急措施。采用的工具包括SCA*，并配合开源漏洞安全运营服务，应急响应服务。

为防止代码泄漏导致安全风险，建立持续的代码 泄漏监测机制，重点监控GitHub等平台是否包含敏感代码。采用的工具包括巡哨*。

从运营业务角度出发，帮助建立《软件发布平台安全运营规范》、《开源软件漏洞运营规范》、《软件敏感信息监控规范》 等管理文档。

梳理软件供应链周期和阶段性风险，根据现有安全管理制度，设计软件供应链安全治理流程，深度优化安全活动并嵌入流程之中，最终建立起与之配套的安全治理体系。

软件供应链安全需求咨询，SCA软件成分分析，渗透测试，安全功能审核，上线前安全评估，上线后的主机及应用环境检查、应用恶意代码排查。

《信息安全事件管理办法》《信息系统运维管理制度》《软件开发项目管理制度》《应用安全需求清单》《应用安全需求设计指南》《开发安全编码指南》《开发安全测试用例》各个阶段的文档模板、检测报告及建议书。