21、软件安全：从集中式到分散式的变革之路

软件安全：从集中式到分散式的变革之路

1. 软件安全成熟度模型

在软件安全领域，评估组织当前的安全态势是至关重要的。首先，要对安全计划进行评估，了解组织现有的安全状况。接着，明确未来的安全状态，找出当前与未来状态之间的差距，以此构建安全发展的路线图。最后，制定行动计划，以实现期望的安全状态。

目前，有两种常用的软件安全成熟度模型：BSIMM 和 SAMM。它们采用了不同的方法来构建安全的软件。
- BSIMM ：是一种与同行业进行对比的有效衡量标准。如果大多数同行都在通过相同或相似的活动来处理软件安全问题，那么这表明你也应该这样做，这就是 BSIMM 的强大之处。它由 Synopsis 拥有，默认情况下评估是由外部进行的。
- SAMM ：适合进行基本的自我评估，以展示当前的软件安全态势。它是开放的，组织可以自行进行评估，但需要组织内部具备相关专业知识。当然，也可以选择让第三方进行评估。

选择哪种模型取决于组织的具体需求：
| 需求 | 适合的模型 |
| — | — |
| 需要与其他组织进行对比 | BSIMM |
| 进行基本自我评估 | SAMM |

在遵循成熟度模型时，关键是要了解组织的承受能力。如果组织没有准备好提高安全成熟度，那么即使获得了 BSIMM 评估和未来 12 到 24 个月的规划也是毫无价值的。这意味着领导层必须参与到安全战略中，工程组织要与应用安全职能保持一致，并且要为安全计划投入合适的资源。例如，在 SAMM 和 BSIMM 中都有架构分析这一活动，它需要工程团队和应用安全团队中具备专业知识的人员