2021年,中国人民银行、中央网信办等五部门印发了《关于规范金融业开源技术应用与发展的意见》,旨在为金融机构进行开源软件治理提供指导意见和方案。
《意见》中多次提到“漏洞”这一关键词,在开源软件的使用原则、使用流程、应急处置等场景中均有涉及。例如第二条提到“堵塞安全漏洞” 以保证使用的开源软件安全可控;第五条“规范开源技术的漏洞检测”以完善规范开源软件的管理制度;第七条“及时掌握开源漏洞情况”以建立开源技术应用台账;第十一条建立应急处置预案中也提到要“应对开源技术潜在漏洞”。
由此可见,漏洞管理在开源软件治理中发挥着重要的作用,结合以上几条意见,漏洞管理大致总结为以下几方面:
- 检测已有漏洞风险
利用软件成分分析、软件物料清单等工具和方法,识别软件中存在哪些漏洞,生成漏洞清单,掌握风险情况。
- 修复堵塞安全漏洞
对已检测出来的漏洞评估风险影响,确定修复的优先级,及时堵塞安全漏洞,避免因漏洞修复不及时而造成的信息安全损失。
- 及时掌握新增漏洞
持续进行漏洞情报源的监测与信息收集,更新最新漏洞信息,并及时利用最新数据体系探测项目是否存在新的漏洞风险。
针对以上措施,信易盾开源软件治理平台涵盖了漏洞风险检测、漏洞风险修复、漏洞情报收集等功能,能够帮助金融机构及时识别处置漏洞风险,保障业务安全。
1.漏洞风险检测
开源软件的漏洞数量众多,难以理清。信易盾能够深入探测软件中存在的每个漏洞,生成漏洞风险检测报告,帮助金融机构快速洞察供应链风险。
2.漏洞风险修复
信易盾提供漏洞信息一站式展示功能,能够帮助金融机构快速了解检出的漏洞详情,并提供修复建议,帮助开发者快速确定解决方案。
3.漏洞情报收集
信易盾会持续监测外部风险情报源,收集最新出现的漏洞信息并定时更新,帮助金融机构随时掌握新增的漏洞风险,快速消除风险危害。
漏洞问题是影响开源软件安全的重要因素,在国家鼓励金融机构发展开源技术、拥抱开源生态的时代前提下,信易盾能够辅助金融机构做好漏洞风险管理,落实各项监管意见,做开源安全治理的有力帮手。