SlashData2024软件供应链管理中的威胁研究报告软件构建与维护组织所面临的主要风险英文版19页_1mb

软件供应链管理威胁分析报告（Q1 2024）总结如下：

1. 威胁普遍性
   超过65%的DevOps专业人士表示其所在组织在过去一年遭遇过软件供应链威胁。其中，第三方组件漏洞（35%）、第三方服务不稳定（26%）和未修补的组件（24%）是最常见的三类威胁。仅有17%的组织进行第三方供应商风险评估，表明这一关键措施实施不足。

2. 规模与威胁关联性
   大型企业（1000+员工）较小型组织面临更高比例的威胁：

• 第三方漏洞：31%（小型组织）→41%（大型组织）
• 供应链攻击：12%→20%
• 勒索软件攻击：11%→21%（因潜在赎金金额更高）
• 内部威胁：11%→18%（员工数量增加导致潜在风险点更多）

3. 行业风险差异
   不同行业面临威胁的类型和频率存在显著差异：

• 第三方相关威胁：软件产品与服务（42%）、金融与银行业（41%）、数据科学/商业智能（31%）等行业高发。
• 内部威胁：金融（17%）、医疗（21%）、政府（18%）、保险（19%）等关键行业风险最高，源于敏感数据访问和高价值目标。
• 遗留系统风险：政府和国防行业因大量使用老旧系统，未修补组件威胁尤为突出。
• 数据安全威胁：教育、数据科学和硬件产品行业更易遭数据泄露及知识产权盗窃，因其拥有大量数据资产和研究资源。

4. 应对建议
   报告建议：

• 优先实施第三方供应商风险评估（当前仅17%组织执行）和依赖项持续扫描（仅20%组织采用）。
• 对大型组织强化多层防护，包括最小权限访问控制、代码签名验证等技术手段，以及员工安全意识培训。
• 针对遗留系统问题，推动向现代安全架构迁移，降低因系统过时导致的漏洞风险。
• 高危行业需加强敏感数据管理和供应链渗透测试，以应对更高频率的威胁。

该调研覆盖全球136个国家，样本量超10000人，采用多语言翻译和严格数据加权处理，确保结果的代表性与准确性。关键发现揭示了软件供应链安全需结合规模、行业特征制定差异化的防护策略，同时强调第三方管理与持续监控的重要性。