软件供应链安全中的SSDF框架到底是什么？

2021年5月12日，美国总统拜登签署了“关于改善国家网络安全(EO 14028)”的行政命令，其中第4节“加强软件供应链安全”的(e)条款要求：初步指南发布90天内(不迟于2022年2月6日)，NIST应发布加强软件供应链安全实践的指南，并明确了指南需包含的10余项具体内容(表3一二列)。

对此，NIST修订了其2020年4月发布的《安全软件开发框架(SSDF) V1.0》，形成V1.1草案，并于2021年9月30日至11月5日完成公开征求意见。

一、 SSDF基本原则

软件开发生命周期(SDLC)是一种用于设计、创建和维护软件的方法。SDLC 有不同的变体，包括瀑布式、螺旋式和敏捷式。无论组织使用哪种变体，对于组织来说，拥有安全的软件开发实践是非常重要的。

根据美国国家标准与技术研究所(NIST)的研究，这有三个主要原因:

1. 减少已发布软件的漏洞数量