选择供应商阶段

● 1
、、、结合企业的实际情况
，，，构建软件供应商评估模型，，
，，指定软件供应商评估标准及安全框架
；

● 2、、、、根据指定的评估模型和相关标准，，筛选出符合标准要求的供应商，
，并选出符合标准条件最多的供应商；

● 3
、、、对通过标准审查的供应商进行安全风险评估，，，，了解清楚软件供应商潜在的安全风险、、存在的暴露面及有可能被外部突破的安全风险；

● 4、、对企业内网权限进行收缩，，不允许员工及供应商驻场人员同时访问内外网；

● 5、、提供给软件供应商的账号（如：VPN、、零信任账号、、源码仓库账号等），，，，需要遵循最小权限范围原则
，，启用多重身份验证
，，
，，并使用强密码；

● 6
、
、加强与软件供应商的数据共享管理机制，，确保敏感数据最小权限化
，，
，，并且可对数据细粒度权限进行管控
，
，当数据泄露时可以进行溯源。。

企业运维阶段

● 1、、、
、软件开发前，，，针对开发人员或软件供应商做安全培训
，
，确保SDL流程能有效实施并落地，，
，同时根据最新的攻防形态提升研发团队的安全能力；

● 2、、、
、使用软件组成分析（SCA）、、、静态应用安全测试（SAST）和动态应用安全测试（DAST）等自动安全测试工具扫描企业内使用的源码和组件
；

● 3
、、、、定期审视代码中使用的开源组件
，，，
，不使用包含安全漏洞的开源组件版本；

● 4、、、、针对企业中的源码做检视，
，确保代码没有被攻击人员恶意篡改
。。。

软件开发阶段

● 1、、
、、针对企业内使用远程办公软件的行为做限制，，远控软件需启用多重身份验证和强密码，，，并确保使用远程办公软件的主机处于安全设备监控；

● 2、、针对企业内的关键系统进行安全监控，
，，避免关键系统受供应链后门影响；

● 3、、、定期扫描和修补易受攻击的系统
。。。