核心觀點與重點
開發與維運團隊的挑戰
- 主要問題：開發人員反對拖慢進度的資安工具與檢查流程；軟體與應用系統是駭客入侵的#1攻擊表面；維運與開發團隊因漏洞修補感到疲累，無法聚焦真正風險。
- 目標：確保開發交付的軟體安全可信；安全測試工具不影響開發效率；識別並關注紀錄中的真正風險。
SDLC進階到SSDLC
- 發展方向：從傳統的SDLC（軟體開發生命週期）進階到SSDLC（安全的軟體開發生命週期），確保軟體的安全性與可靠性。
- 關鍵元素：軟體組建清單（SBOM）的重要性日益增加。
歐盟新法網路韌性法案（Cyber Resilience Act / CRA）
- 通過時間：2024年3月12日，歐洲議會以517票對12票贊成（78票棄權）通過。
- 適用對象：所有具有數位元素的產品（PDE）製造商、進口商和零售商。
- 主要規定：大幅改變產品的資訊安全規範和使用開源軟體的責任，違反者恐面臨罰款甚至失去CE標誌的風險。
- 罰款標準：最高1500萬歐元或上一財年全球年營業額的2.5%（以較高者為準）。
企業使用開源軟體的供應鏈風險
DevSecOps的應用
- 核心概念：讓安全活動無縫整合到軟體生命週期。
- 自動化工具：需要自動化工具輔助達成應用安全。
- DevSecOps工具鏈特點：非侵入式、自動化、智慧能力、可視性及開放性。
- 整合方式：將AppSecTesting工具融入DevOps，打磨成適合自身的DevSecOps工具鏈。
Synopsys的應用安全方案
- 主要工具：Black Duck SCA（開源弱點比對&合法授權工具分析技術）。
- 系統架構：自動化Pipeline整合到CI/CD流程，例如GitHub、TFS、AzureDevOps。
- 功能：提供軟體風險的消弭建議，可追蹤弱點修正的軌跡。
- 領導者：在應用安全測試領域是廣受認可的領導者。
- 最佳實務：Synopsys的應用安全方案智慧地將資安融入DevOps中。
達友科技代理的主要品牌與應用
- 代理品牌：Synopsys新思科技。
- 應用方案：利用DevSecOps自動化工具融合資安、開發與維運團隊的最佳實務。
