选择供应商阶段

● 1、、
、结合企业的实际情况，，，构建软件供应商评估模型，，
，指定软件供应商评估标准及安全框架；

● 2、、根据指定的评估模型和相关标准，，筛选出符合标准要求的供应商，
，，并选出符合标准条件最多的供应商；

● 3、、、对通过标准审查的供应商进行安全风险评估，，，，了解清楚软件供应商潜在的安全风险、、、、存在的暴露面及有可能被外部突破的安全风险
；

● 4、、对企业内网权限进行收缩，，不允许员工及供应商驻场人员同时访问内外网；

● 5、、提供给软件供应商的账号（如：VPN、、零信任账号、、源码仓库账号等），，需要遵循最小权限范围原则，，，，启用多重身份验证，，，并使用强密码；

● 6、、加强与软件供应商的数据共享管理机制，，确保敏感数据最小权限化
，，，并且可对数据细粒度权限进行管控，
，，当数据泄露时可以进行溯源。。

企业运维阶段

● 1、、、、软件开发前，，针对开发人员或软件供应商做安全培训，，，确保SDL流程能有效实施并落地，，
，，同时根据最新的攻防形态提升研发团队的安全能力；

● 2
、、、、使用软件组成分析（SCA）、
、、
、静态应用安全测试（SAST）和动态应用安全测试（DAST）等自动安全测试工具扫描企业内使用的源码和组件；

● 3、、、、定期审视代码中使用的开源组件，，，不使用包含安全漏洞的开源组件版本；

● 4、、针对企业中的源码做检视，，确保代码没有被攻击人员恶意篡改。。

软件开发阶段

● 1、、、针对企业内使用远程办公软件的行为做限制，，，远控软件需启用多重身份验证和强密码，
，并确保使用远程办公软件的主机处于安全设备监控；

● 2、、
、、针对企业内的关键系统进行安全监控
，，，，避免关键系统受供应链后门影响
；

● 3、
、、、定期扫描和修补易受攻击的系统。。。。