当前，随着数字经济的快速发展，数字中国的建设在各行各业中蓬勃推进。金融作为数字化转型的先锋行业，其探索已经从浅层的流程优化逐步深入到更为全面、深刻的系统革新。金融业务需要快速响应市场变化，推动业务的高速迭代，而旧有的开发体系在效率、灵活性和响应速度方面均显得力不从心。同时，软件技术供应链的日益复杂化，开源软件、第三方供应商解决方案的广泛应用，供应链中的安全漏洞、第三方组件的安全风险、开源软件的漏洞利用等都可能对金融机构的业务稳定性构成巨大威胁。因此，金融机构在数字化转型过程中，不仅面临业务创新和系统改造的挑战，还需要应对复杂严峻的供应链安全形势。

安全牛在近期开展的《软件供应链安全能力构建指南（2024版）》报告研究过程中，对某国内股份制银行安全开发场景的供应链安全建设项目进行了调研分析，并从用户需求、方案设计、方案建设及运营等维度，对项目实际建设经验和特点进行了研究总结。

本案例正式收录于《软件供应链安全能力构建指南（2024版）》，项目由思客云（北京）软件技术有限公司建设实施，并提供案例研究支持。

案例背景

本案例的客户是某国内股份制银行，目前已采购了大量与供应链体系相关的关键工具。但面对新的供应链安全形势，该银行还缺乏全面统筹与风险管理能力，迫切需要对现有软件供应链安全管理模式进行改革，以应对快速发展的业务需求和日益复杂的供应链安全挑战。其诉求主要包括以下两方面：

(1)  统管开发的安全漏洞、第三方组件的安全风险、开源软件的漏洞利用等安全风险；

(2)  提升开发效率，并在确保安全的前提下实现高效迭代和系统的持续优化。

解决方案

结合用户诉求，经过与用户各部门的多次深入沟通，思客云建议用户将烽火台SSC（软件供应链安全管理平台）作为核心管理平台，并纳入现有的安全管理体系中。

思客云烽火台软件供应链安全治理系统框图

烽火台SSC能够覆盖开源软件、商用软件和自研软件的引入、使用、发布和监控等软件供应链的多个关键环节。该平台通过统一的管理视角，帮助用户高效管理代码成分分析、SBOM（软件物料清单）识别、安全漏洞检测、许可证合规性审查，以及软件资产清单的维护。同时，它还提供强大的安全应急响应机制与供应商管理功能，能够确保在供应链中对潜在的安全威胁做出快速反应与处理。

1、核心应用场景

项目涉及安全开发生命周期一致性管理、组件生命周期管理、供应商安全能力管理、企业系统安全态势感知共4个核心场景。

安全开发生命周期一致性管理  平台通过集成SAST工具、SCA工具和多场景化编译沙箱，将企业的软件供应链中的安全开发流程全面托管至烽火台SSC平台，由平台统一管理和推进。该流程的统一化管理避免了在各个环节中多次切换不同工具和平台所带来的安全风险。流程启动后，整条供应链中的源码、组件、编译环境等关键元素将被平台完全锁定，确保其在安全封闭的状态下运行，避免外部操作带来的潜在安全威胁，能有效提升企业供应链管理的整体安全性。

组件生命周期管理 平台与企业私有组件仓库无缝集成，在安全开发网络的前提下（内外网隔离），确保组件使用的全程安全性。企业私有仓库与平台的供应商管理模块和SCA工具对接，对仓库中的现有组件进行分类与周期性检测，及时识别不安全的开源组件和供应商的风险组件。新增组件由平台的供应链引入模块严格审核，经过静态代码检测、成分分析、供应商审核等多重流程后才允许进入仓库。开发人员调用组件时，同样要经过成分分析和供应商安全审查，阻断不安全组件的引入。当发现风险组件时，平台会立即将其标记为黑名单，并通知各相关供应链环节资产，包括开发项目、供应商和部署服务器等，确保风险被及时隔离和处理。

供应商安全能力管理 基于SAST和SCA工具的能力，平台对供应商提供的源代码、SBOM（软件物料清单）和制品进行详尽的安全测试与审核，测试结果会通过安全能力评价算法计算，最终生成供应商的多维度安全评分。供应商的安全能力评分将直接影响其软件或组件在供应链中的使用权限。平台还提供周期性的供应商复测功能，确保供应商的安全能力保持稳定，避免由于供应商安全能力下降而导致的供应链安全风险。

企业系统安全态势感知 平台通过整合接入的各类安全工具，生成全面的软件供应链安全图谱。该图谱通过多看板模式，以项目、风险、组件和供应商等核心维度，展示企业供应链的整体安全态势。通过这种可视化的展示，用户能够直观地定位并评估风险的影响范围，从而更好地理解企业整体安全能力。这一功能不仅提升了供应链风险的可见性，还帮助企业针对潜在威胁做出快速、准确地响应，提高了全链路的安全管理能力。

2、核心组件

在该项目中，平台的核心组件包括SAST工具、SCA工具和多场景编译沙箱等，旨在构建一体化的软件供应链安全管理体系。

SAST工具  通过静态代码分析，实现对源代码的深入检测，帮助用户在开发阶段识别和修复安全漏洞。它不仅提升了企业自身的代码安全，还为供应商的源代码提供了严格的安全测评，有效降低供应商带来的安全风险，全面提升供应链安全管控能力。

SCA工具  支持对开源组件、云原生环境和二进制制品的多维度分析，覆盖从同源代码分析到安全风险控制的多个环节。通过精准识别开源组件及镜像沙箱，SCA工具协助用户管理供应商的SBOM（软件物料清单）和安全制品，同时统计代码中的开源比例与自研率，确保开源安全合规。

多场景编译沙箱  实现源代码在平台内的统一编译，保障从供应链入口到出口的代码一致性，减少供应链中的不确定性风险。这一功能确保了开发代码与最终制品的一致性，有效降低了源代码污染、版本控制平台攻击等风险，为供应链安全提供坚实的技术支持。

通过这些核心工具的深度集成，助力该平台构建了一套完整的供应链安全管理体系，帮助企业全面防范供应链中的安全漏洞和风险，提升供应链的整体安全性和运营效率。

3

项目规模与实施过程

作为解决方案的提供商，思客云全面整合了用户现有的供应链工具，围绕供应链中的开源组件、开源软件、商用软件和供应商等核心要素的测评与管理进行优化。

该项目从计划实施到系统上线、验收及正常运营，历时约8个月。在系统正式运营期间，用户的主要职责涵盖供应链流程的编排、供应链要素的聚焦点设置，以及供应商安全等级的确认等工作。

通过对现有供应链流程的精简和优化，思客云帮助用户提升了自动化处理能力，降低了手动干预的复杂性，从而实现更高效、更精准的供应链管理体系，全面提升了运营效率和安全性。

方案特点

1、方案具备灵活的适配性

烽火台SSC可以通过个性化方案帮助企业构建符合其特定需求的供应链流程，确保其能够在不同类型的企业中无痛落地，迅速投入使用。

2、提供精确量化的风险管理能力

烽火台SSC以数据驱动为核心，对开发流程、项目规格和风险机会的精确量化，聚焦供应链的关键元素（开源组件、开源软件、商用软件和供应商）结合供应链风险算法，帮助企业定义安全等级并优化决策流程，并提供了多看板模式下的供应链风险管理。

3、非线性集成方案

烽火台SSC实现了供应链不同元素间的协同运作。单个项目中的供应链元素可通过风险拓扑映射至整个供应链网络，使得单一风险能够扩展为全局视角，帮助企业规避多次冗余操作。无论是新风险组件的发布、软件中毒事件，还是供应商安全评级下降，平台均能够实时反映出相关风险对整个供应链的影响，提升企业的整体风险管理能力与质量控制水平。这种跳脱出单条供应链的视角，赋予企业全面的风险洞察力。

4、供应链一致性控制

通过在平台中预设多语言、多环境的编译沙箱，支持源代码的平台统一编译功能。此功能确保了开发阶段的代码与最终产品的一致性，控制了软件供应链安全风险点的出现，进而有效降低了软件供应链中的安全风险，避免源代码污染、版本控制平台攻击以及包管理器平台攻击等威胁的发生，从而为企业提供更高的安全保障。

 案例点评

该平台化方案聚焦于安全开发的入口、过程和出口三个重要环节，实现了安全开发统一管理，提升了安全开发风险的可视化，同时将私库管理与制品管理结合，有效保证开发不同环节中安全策略的一致性。

本案例所采用的方案是新型安全开发场景中风险管理的代表性解决方案。