如何有效防范软件供应链安全风险

近年来，随着“数字政府”建设的深入推进，各级党政机关的业务系统正加速向云端迁移，针对政务信息系统的网络攻击，正呈现出从“直接攻击”向“供应链侧向渗透”演变的趋势。如何有效防范软件供应链安全风险，对维护网络安全具有重大意义。

（一）外包与供应商管理“失察”风险。 政务信息系统的开发与运维大多依赖供应商。部分供应商安全能力参差不齐，开发人员权限管理混乱，甚至在代码中故意留设后门。此外，当供应商发生人员流动或自身遭遇网络攻击时，风险极易向政府单位内部网络传导，形成“跳板攻击”。

（二）开源组件“带病运行”风险。 政务信息系统中开源代码的占比往往高达70%以上，许多系统在集成第三方开源组件时，缺乏严格的安全审查，一旦使用了存在已知高危漏洞的组件（如Log4j2漏洞），且未建立漏洞动态追踪修复机制，政务信息系统将长期处于“裸奔”状态。

（三） 软件物料“底数不清”风险。 软件物料清单缺失是痛点之一。当突发重大安全事件时，由于不清楚本单位的政务信息系统究竟包含了哪些底层组件、由谁编译、来自哪里，给安全管理部门排查和处置工作带来被动。

（四）研发交付流程“被污染”风险。 在软件的编译、打包和分发环节，如果开发环境不隔离、构建服务器缺乏防护，或者更新分发通道没有进行强加密和数字签名校验，攻击者就有可能在“流水线”上掉包软件，植入恶意代码。

（一）严把准入关，强化供应商安全管理。 建立完善的供应商安全评估与考核机制，在项目招投标阶段即将安全能力作为核心权重。签订严格的网络安全保密协议，明确供应链安全责任边界与违约追责条款。定期对供应商开展安全审计，项目结束后严格执行源代码安全回收与开发环境销毁。

（二）摸清资产底数，建立第三方组件清单台账。 在项目验收环节，要求供应商提供政务信息系统完整的软件物料清单，并采用技术手段进行扫描检测，建立政务信息系统第三方组件资产台账，实现对底层操作系统、数据库、中间件及开源组件的动态纳管，确保在应对处置突发漏洞时能够快速精准定位。

（三）坚持安全左移，深化开发全流程管控。 在政务信息系统研发阶段全面引入安全开发生命周期理念，定期开展源代码安全审计和开源组件成分分析，严控风险开源协议的使用，强化代码仓库权限管理，严禁在代码中硬编码账号密码及密钥。

（四）完善应急机制，提升供应链抗风险能力。 制定针对软件供应链攻击的专项应急预案，定期开展供应链安全攻防演练。对于重要政务信息系统，应落实供应链多元化策略，避免对单一供应商或单一技术路线的依赖，切实提升政务信息系统抗风险能力。

来源：民政部信息中心、精准民政

编辑：胡佳怡（见习）