选择供应商阶段

● 1、
、、结合企业的实际情况，，，构建软件供应商评估模型
，，，
，指定软件供应商评估标准及安全框架；

● 2
、、、根据指定的评估模型和相关标准，，筛选出符合标准要求的供应商，，，并选出符合标准条件最多的供应商；

● 3、、、、对通过标准审查的供应商进行安全风险评估，，
，
，了解清楚软件供应商潜在的安全风险、、、、存在的暴露面及有可能被外部突破的安全风险；

● 4、、、对企业内网权限进行收缩，，
，不允许员工及供应商驻场人员同时访问内外网
；

● 5、、提供给软件供应商的账号（如：VPN、、零信任账号、、、源码仓库账号等），，，，需要遵循最小权限范围原则，，
，
，启用多重身份验证，，并使用强密码
；

● 6、、、加强与软件供应商的数据共享管理机制，
，确保敏感数据最小权限化，
，并且可对数据细粒度权限进行管控，，，当数据泄露时可以进行溯源。
。。

企业运维阶段

● 1、、软件开发前，，，针对开发人员或软件供应商做安全培训，，，，确保SDL流程能有效实施并落地，，，，同时根据最新的攻防形态提升研发团队的安全能力；

● 2、、
、、使用软件组成分析（SCA）
、、、、静态应用安全测试（SAST）和动态应用安全测试（DAST）等自动安全测试工具扫描企业内使用的源码和组件
；

● 3、、、定期审视代码中使用的开源组件
，，不使用包含安全漏洞的开源组件版本；

● 4、、、针对企业中的源码做检视，，，，确保代码没有被攻击人员恶意篡改。。。

软件开发阶段

● 1、、、针对企业内使用远程办公软件的行为做限制
，，，远控软件需启用多重身份验证和强密码
，，，，并确保使用远程办公软件的主机处于安全设备监控
；

● 2、、、、针对企业内的关键系统进行安全监控，，避免关键系统受供应链后门影响；

● 3、、、、定期扫描和修补易受攻击的系统。。。