新思科技发布软件安全构建成熟度模型BSIMM9

利用实际数据推动改善软件安全计划

大多数认识到软件安全性的企业都对如下方面的不确定性困惑不已：到底应该进行什么程度和类型的投资？他们是否把投资优先用于正确领域了？是否使用了足够的技术？技术是否过多了？ 十年前，软件安全的发展当时仍处于初级阶段，衡量任何特定计划成熟度的唯一方法就是将它与其他组织机构的计划进行对比。有些公司发布了说明性指南，例如“Microsoft安全开发生命周期”。但这些活动与他们开发软件的方式耦合过于紧密，因此很难成为其他企业的有用标尺。还有少数软件安全领域的开拓者通过建立特定社区来相互学习和共享，但这种方法只是创建了一些难以加入且几乎无法扩展的孤立群体。

然而，有了BSIMM之后，答案就明朗了很多。现在，BSIMM已经发展到了第九个版本。

美国新思科技公司发布其最新版本的软件安全构建成熟度模型——BSIMM9。该模型旨在帮助企业规划、执行并评估其软件安全计划（SSIs）。BSIMM9是软件安全构建成熟度模型（BSIMM）的第九个版本，收集了120家企业过去10年的真实数据。BSIMM9强调了云转型的影响和软件安全社区的发展，并且在数据库中纳入了新的垂直行业——零售业。

甲骨文公司旗下云ERP系统NetSuite基础设施和安全高级副总裁Brian Chess博士表示：开发、安全和运营团队需要步调一致，BSIMM9提供的数据表明这是通过自动化进行的，特别是当软件迁移到云端时。这是朝着正确方向迈出的巨大一步：同时提高速度和安全性。”

BSIMM9描述了7800多名软件安全专家的工作成果，展现了软件安全最佳实践模块背后的科学性。这些成果对41.5万名开发人员有指导作用，帮助他们最大化地保障产品的安全性。这些开发人员参与约13.5万应用程序的开发工作。参与BSIMM9调研的企业来自有代表性的垂直行业，包括金融服务、独立软件供应商（ISVs），云、医疗卫生、物联网、保险及零售业。

BSIMM9报告的主要发现包括：

• 云转型：企业正在将其工作负载和开发流程迁移到云端 - 这种模式转变需要采取不同的软件安全措施。新思科技在评估过程中发现了三种直接或间接与云转型有关的新活动并将它们加入到BSIMM报告。此外，在独立软件供应商、物联网公司和云计算公司（三个最突出的垂直行业）观察到的多种活动已开始融合，这表明通用云架构需要类似的软件安全方法。
• BSIMM应用在不同垂直行业：BSIMM可用来比较同一行业以及不同垂直行业之间的软件安全计划。 BSIMM9数据中纳入了一个新的垂直行业——零售业。随着电子商务模式的崛起，保持软件安全对促进零售业健康发展至关重要，因此软件安全计划在这个行业的发展相对更快一些。零售业在安全方面已经比医疗保健和保险业更加成熟。
• 评估规模扩大：BSIMM8收集的数据来自109家公司，BSIMM9增加到120家。参加BSIMM9评估的软件安全从业人员数量增长了65％，开发人员数量增长了43％。BSIMM规模的大幅提升也反映了软件安全正在成为日益重要的优先事项。

新思科技安全技术部副总裁Gary McGraw博士表示：“BSIMM提供真实的数据参照，已经成为评估和改进软件安全计划的可靠标准。凭借BSIMM，用户可以将自己的软件安全计划与世界上其它一些成熟的公司作对比。BSIMM9凝聚了新思科技10年来在软件安全领域观察工作的结晶，汇集了该领域最大规模的客观数据。”

BSIMM对已经建立真正软件安全计划的企业进行观察，描述了116项可付诸实践的活动，通过量化不同企业的做法，能同时发现许多企业的共同点以及彰显个性的不同之处。BSIMM数据显示成熟度高的安全计划很全面，开展了所有12个实践模块中的多项活动。企业可以凭借BSIMM对软件安全计划进行比较，由此决定哪些活动是可能有用的，可以支持其整体策略实施。