本书通过深入探讨构建和维护软件供应链安全的最佳策略和实践，以期提供全面的实践操作指南，帮助组织理解并应对与软件供应链相关的安全威胁。 本书以理念、原则、系统性实施等全方位内容为核心框架，建立起两个相互补充的安全闭环。第一，聚焦软件研发内部，形成涵盖需求设计、开发、验证、发布和部署的安全开发全生命周期安全闭环；第二，在宏观层面，从整个软件供应链的角度出发，包括第三方组件和服务等，确保全生命周期中每个触点都受到保护。 本书可作为高等院校网络空间安全专业或其他专业学生的参考教材，同时可作为对软件供应链安全感兴趣的读者的参考书。

第1章 软件供应链安全概述
1.1 背景
1.1.1 什么是软件供应链安全
1.1.2 软件供应链安全现状
1.1.3 软件供应链安全政策法规及标准
1.1.4 软件供应链安全市场
1.2 软件供应链攻击特点
1.2.1 攻击面广、攻击门槛低
1.2.2 隐蔽性强、潜意识信任
1.2.3 传播性强、伤害性大
1.2.4 攻击手段新、攻击复杂化
1.3 软件供应链面临的安全挑战
1.3.1 供应商可信度难以评估
1.3.2 供应链复杂度高
1.3.3 软件供应链透明度低
1.3.4 风险响应速度慢
1.3.5 安全重视程度不足、人员意识薄弱
1.3.6 软件供应链安全威胁
第2章 软件供应链安全治理框架
2.1 软件供应链安全治理整体框架
2.2 软件供应链安全治理理念
2.3 软件供应链安全组织与制度建设
2.4 软件供应链安全研发体系
2.5 软件供应链安全技术能力
第3章 软件供应链安全管理机构与人员
3.1 安全管理机构
3.1.1 机构岗位设置
3.1.2 授权和批准
3.1.3 沟通与合作
3.1.4 审计和检查
3.1.5 实践示例
3.2 安全管理人员
3.2.1 人员招聘
3.2.2 离岗人员
3.2.3 安全意识教育和培训
第4章 软件供应商安全治理
4.1 基本定义
4.1.1 软件供应商在供应链中所处位置
4.1.2 软件供应商安全治理意义
4.1.3 软件供应商治理环节
4.2 明确软件供应商安全治理总体方针
4.2.1 梳理业务核心需求
4.2.2 以政策法规、领域指标为导向
4.3 软件供应商风险评估
4.3.1 供应商资质评估
4.3.2 供应商安全评估
4.3.3 软件产品安全评估
4.4 供应商引入安全
4.5 安全治理职能确立
4.6 供应商风险监控
4.7 供应商清退制度
4.7.1 明确清退标准
4.7.2 制定清退机制
第5章 第三方软件管理
5.1 第三方软件概述
5.1.1 什么是第三方软件
5.1.2 第三方软件风险
5.1.3 安全管理的必要性
5.2 商用采购软件安全管理
5.2.1 商用采购软件介绍
5.2.2 风险分析
5.2.3 安全管理指南
5.3 开源软件安全管理
5.3.1 开源软件介绍
5.3.2 风险分析
5.3.3 安全管理指南
5.4 外包软件安全管理
5.4.1 外包软件介绍
5.4.2 风险分析
5.4.3 安全管理指南
第6章 软件安全研发——需求设计阶段
6.1 需求设计阶段的安全必要性
6.2 威胁建模
6.2.1 威胁建模介绍
6.2.2 威胁建模协助安全需求与安全设计
6.3 安全需求
6.3.1 常用安全需求分析方法
6.3.2 安全需求分析方法在实践中的应用
6.3.3 借助威胁建模生成安全需求
6.3.4 安全需求分析实践案例
6.4 安全设计
6.4.1 针对安全需求的安全设计
6.4.2 安全架构分析
6.4.3 设计有效性校验
第7章 软件安全研发——开发阶段
7.1 开发阶段风险分析
7.2 安全开发标准与管理体系
7.2.1 安全开发标准
7.2.2 安全开发管理体系
7.3 安全编码
7.3.1 常见代码漏洞原理和修复方式
7.3.2 软件安全编码规范
7.4 引入组件的安全
7.4.1 第三方组件风险
7.4.2 组件选择
7.4.3 引入流程
7.4.4 组件修复
7.4.5 组件的使用
7.5 代码评审与代码审计
7.5.1 代码评审
7.5.2 代码审计
7.6 安全成果验收
第8章 软件安全研发——验证阶段
8.1 软件安全验证框架
8.2 安全需求验证
8.3 主流漏洞验证
8.3.1 主流漏洞类型
8.3.2 主流漏洞测试方法
8.3.3 主流漏洞修复示例
8.4 开源组件漏洞验证
8.4.1 开源组件风险类型
8.4.2 开源组件风险测试方法
8.4.3 开源组件修复示例
8.5 业务逻辑漏洞验证
8.5.1 业务逻辑漏洞类型
8.5.2 业务逻辑漏洞测试方法
8.5.3 业务逻辑漏洞修复示例
8.6 API安全验证
8.6.1 修复API漏洞涉及的内容
8.6.2 常见的API漏洞修复示例
8.7 App安全验证
8.7.1 App漏洞类型
8.7.2 App漏洞测试方法
8.7.3 App漏洞修复示例
8.8 数据安全验证
8.8.1 数据安全漏洞类型
8.8.2 数据安全测试方法
8.8.3 数据安全漏洞风险及修复示例
8.9 上线前安全评审
8.9.1 上线前安全评审的重要性
8.9.2 安全基线验证
第9章 软件安全研发——发布和部署阶段
9.1 发布和部署阶段的安全风险
9.2 实用安全实践
9.2.1 安全发布管理
9.2.2 安全部署策略
9.2.3 安全部署测试
9.2.4 持续监控和事件响应
9.3 基于生命周期的软件安全发布流程
第10章 开发过程中的数据安全
10.1 数据安全左移
10.1.1 计划设计阶段
10.1.2 开发阶段
10.1.3 验