美、澳发布针对软件制造商的新安全指南

美国和澳大利亚政府机构新发布的联合指导强调，软件制造商应实施安全的软件部署程序，以支持和增强产品和部署环境的安全性和质量。

该文件由美国网络安全机构 CISA、FBI 和澳大利亚网络安全中心 (ACSC) 共同撰写，旨在通过建立安全的软件部署流程帮助软件制造商确保其产品对客户来说是可靠且安全的，同时还指导在软件开发生命周期 (SDLC) 中如何实现高效部署。

“安全部署流程并非从首次推送代码开始；而是更早开始。为了保持产品质量和可靠性，技术领导者应确保所有代码和配置更改都经过一系列明确定义的阶段，并由强大的测试策略支持，”编写机构指出。

作为 CISA安全设计举措的一部分，新发布的《安全软件部署：软件制造商如何确保客户的可靠性》指南适用于软件或服务制造商以及基于云的服务，CISA、FBI 和 ACSC 指出。

通过安全的软件部署流程有助于交付高质量软件的机制包括强大的质量保证流程、及时的问题检测、包括分阶段推出的明确的部署策略、全面的测试策略、持续改进的反馈循环、协作、短的开发周期以及安全的开发生态系统。

“强烈建议安全部署软件的做法是在规划阶段进行严格测试、控制部署和持续反馈。通过遵循这些关键阶段，软件制造商可以提高产品质量、降低部署风险并为客户提供更好的体验，”指南中写道。

创作机构鼓励软件制造商在规划阶段定义目标、客户需求、潜在风险、成本和成功标准，并在开发和测试阶段专注于编码和持续测试。

他们还指出，制造商应该使用剧本来确保软件部署过程的安全，因为它们为每个开发阶段提供了指导、最佳实践和应急计划，包括部署期间和部署后应对紧急情况的详细步骤。

此外，软件制造商应该实施一项计划，在出现严重问题时通知客户和合作伙伴，并应提供有关问题、影响和解决时间的明确信息。

该编写机构还警告称，那些喜欢使用旧版本软件或配置来避免新更新带来的风险的客户可能会使自己面临其他风险，尤其是当更新提供漏洞补丁和其他安全增强功能时。

“软件制造商应专注于改进部署实践并向客户展示其可靠性。软件制造领导者不应放慢部署速度，而应优先加强部署流程以确保安全性和稳定性，”指导意见写道。

— 欢迎关注