23、商用现货（COTS）软件安全成本估算与中小企业应用挑战

商用现货（COTS）软件安全成本估算与中小企业应用挑战

在当今数字化时代，商用现货（COTS）软件在各个行业中得到了广泛应用。然而，COTS软件的安全成本估算以及中小企业在引入COTS信息技术时面临的挑战，成为了值得关注的重要问题。

1. COTS软件安全成本估算

对于COTS软件的安全成本估算，有一套提议的安全成本驱动评级方案，具体如下表所示：
| 评级 | 保护措施 | 价值 |
| — | — | — |
| 非常高（VH） | 当系统建立并维持连接时，使用代理实时动态搜索潜在的安全漏洞。包含“高”级别的所有措施，外加顶级的防篡改和数据完整性分析。 | 1.45 |
| 高（H） | 使用强化包装器和绑定来隔离对操作系统和中间件的访问。包含“标称”级别的所有措施，外加大量与供应商的沟通，以确保产品内置足够的安全保护。 | 1.29 |
| 标称（N） | 对COTS进行包装和分层，以实现“即插即用”，从而将潜在威胁降至最低。对COTS进行静态和动态扫描，以检测信息弹药。检查供应商的错误报告，以确保没有未解决的安全漏洞，并已安装所有补丁。 | 1.15 |
| 低（L） | 不采取保护措施。仅对COTS进行静态扫描，以检测病毒、蠕虫、特洛伊木马和其他信息弹药。 | 1.00 |

为了验证该模型是否能准确预测增加安全措施对工作量和持续时间的影响，已经开展了相关工作。首先采用了通过德尔菲法由专家得出的值，接下来会对最初用于校准模型的20个项目进行调查，收集并分析安全考虑因素的实际影响。同时，会使用增强的数据收集表从正在合作的其他项目中收集数据，以确定最初得出的安全校准是否合理，以及估算成本与实际成本是否相符。随着数据库的