2025軟件供應(yīng)鏈安全政策匯編報(bào)告-德昶安測(cè)

供應(yīng)鏈安全能力分中心（上海）上海德昶安測(cè)技術(shù)服務(wù)有限公司2025年2月I 1 3 3 7 9 10 33件供應(yīng)鏈安全的國(guó)家標(biāo)準(zhǔn)GB/T43698-2024《網(wǎng)絡(luò)安全技術(shù)軟件供應(yīng)鏈安全要未來，我國(guó)將從被動(dòng)防御轉(zhuǎn)向主動(dòng)治理，著力構(gòu)建覆蓋“開發(fā)-交付-運(yùn)行”軟針對(duì)日益突出的軟件供應(yīng)鏈安全問題，上海供應(yīng)鏈安全能力分中心于2024過協(xié)調(diào)配置各類行業(yè)資源，助力供應(yīng)鏈標(biāo)準(zhǔn)構(gòu)建“標(biāo)準(zhǔn)宣貫+工具賦能”雙輪驅(qū)動(dòng)模式，通過報(bào)告和推文發(fā)布、行業(yè)峰會(huì)檔）”自動(dòng)化工具，提供軟件供應(yīng)鏈安全合規(guī)檢測(cè)與治理的全流程支持，促進(jìn)標(biāo)專班自成立以來，協(xié)助公安部第三研究所編制并提報(bào)供應(yīng)鏈安全相關(guān)標(biāo)準(zhǔn)2軟件供應(yīng)鏈安全法規(guī)匯編2.1國(guó)外政策法規(guī)123ISO/IEC20243《信息技術(shù)-開放可信技術(shù)提供商標(biāo)準(zhǔn)456789鏈安全提供了可操作的框架，其核心目標(biāo)是實(shí)現(xiàn)組件的透明化《根據(jù)EO14028第4e節(jié)指定的軟件供應(yīng)鏈安全指導(dǎo)》為CII運(yùn)營(yíng)者有效管理供應(yīng)鏈安全風(fēng)險(xiǎn)提供了識(shí)別與評(píng)估風(fēng)險(xiǎn)以及選擇與實(shí)施控制白宮管理和預(yù)算辦公室要求供應(yīng)商產(chǎn)品需提供以證明其符合安全軟件開發(fā)框架的文（ODNI）攜手發(fā)布了該指南，主要提及軟件供應(yīng)商在供應(yīng)鏈中所需要承擔(dān)的責(zé)任和重點(diǎn)關(guān)注治理和軟件供應(yīng)鏈問題。CSF2.測(cè)、響應(yīng)、恢復(fù)和治理）提供了豐富的資源以加速《供應(yīng)鏈完整性：ICT供應(yīng)鏈風(fēng)險(xiǎn)和挑戰(zhàn)概述和未來《關(guān)于在歐盟范圍內(nèi)實(shí)現(xiàn)高水平共同網(wǎng)絡(luò)安全措施的2.2國(guó)內(nèi)政策法規(guī)1分別從網(wǎng)絡(luò)審查、網(wǎng)絡(luò)產(chǎn)品和服務(wù)安全角度234運(yùn)營(yíng)者應(yīng)當(dāng)優(yōu)先采購(gòu)安全可信的網(wǎng)絡(luò)產(chǎn)品和服務(wù)；采購(gòu)網(wǎng)絡(luò)產(chǎn)品和服務(wù)可能影響國(guó)家安5給出了供應(yīng)鏈風(fēng)險(xiǎn)管理的通用指南，適用于各類組織保護(hù)其在供應(yīng)鏈上進(jìn)行的產(chǎn)品的采67GB/T36637-2018《信息安全技術(shù)I89/《信息安全技術(shù)關(guān)鍵信息基礎(chǔ)設(shè)施信息規(guī)定了軟件產(chǎn)品中的開源代碼成分安全評(píng)價(jià)要素和評(píng)價(jià)流程，適用于對(duì)軟件產(chǎn)品包含的2.3行業(yè)標(biāo)準(zhǔn)JR/T0290-2024《金融業(yè)開源軟件應(yīng)/?《信息安全技術(shù)動(dòng)態(tài)應(yīng)用安全測(cè)試系統(tǒng)安全技術(shù)要求與測(cè)試評(píng)價(jià)方法》?《信息安全技術(shù)靜態(tài)應(yīng)用安全測(cè)試系統(tǒng)安全技術(shù)要求與測(cè)試評(píng)價(jià)方法》?《信息安全技術(shù)容器鏡像安全檢測(cè)工具安全技術(shù)要求與測(cè)試評(píng)價(jià)方法》?《信息安全技術(shù)模糊測(cè)試系統(tǒng)安全技術(shù)要求與測(cè)試評(píng)價(jià)方法》?《信息安全技術(shù)軟件成分分析系統(tǒng)安全技術(shù)要求與測(cè)試評(píng)價(jià)方法》?《信息安全技術(shù)應(yīng)用軟件供應(yīng)鏈安全技術(shù)規(guī)范》?《供應(yīng)鏈安全軟硬件供應(yīng)商網(wǎng)絡(luò)安全能力評(píng)價(jià)方法》?《供應(yīng)鏈安全軟硬件供應(yīng)商網(wǎng)絡(luò)安全能力基本要求》