InfoQ
·
2025年伦敦QCon：约翰逊·马修公司的管理开源风险三步蓝图
💡
原文英文，约700词，阅读约需3分钟。
📝
内容提要
在2025年伦敦QCon大会上，Celine Pypaert提出了管理开源依赖风险的三部分蓝图：识别和优先处理漏洞，使用软件组成分析工具，与安全团队合作，以及将安全修复从被动转为主动，自动化安全任务以提高效率。
🎯
关键要点
- Celine Pypaert在2025年伦敦QCon大会上讨论了管理开源依赖风险的三部分蓝图。
- 开源组件在96%的商业代码库中存在，存在对熟悉软件的错误信任。
- 她提到了一些安全事件，如XZ Utils后门和Left-pad事件，强调了开源依赖的风险。
- 第一部分蓝图是识别和优先处理漏洞，建议使用软件组成分析工具（SCA）进行审计。
- 建议采用结构化的方法来优先处理修复，关注关键和高影响的问题。
- 第二部分是所有权和问责制，开发者应寻求安全团队的帮助，并使用风险登记册引起高层关注。
- 建立风险档案有助于将业务连续性与漏洞管理联系起来，减少技术债务。
- 最后一部分是将安全修复从被动转为主动，倡导自动化安全任务。
- 建议将漏洞检测工具与项目管理工具集成，以减少摩擦并提高效率。
- Pypaert鼓励与会者开始基本的检测、分配和政策草拟，并考虑使用补偿控制来隐藏漏洞。
❓
延伸问答
Celine Pypaert在QCon大会上提出了什么管理开源依赖风险的蓝图？
她提出了一个三部分蓝图，包括识别和优先处理漏洞、建立所有权和问责制、以及将安全修复从被动转为主动。
开源组件在商业代码库中的普遍性如何？
开源组件在96%的商业代码库中存在。
Pypaert提到的安全事件有哪些？
她提到的安全事件包括XZ Utils后门和Left-pad事件。
如何优先处理开源依赖中的漏洞？
建议使用软件组成分析工具（SCA）进行审计，并采用结构化的方法优先处理关键和高影响的问题。
Pypaert如何建议建立所有权和问责制？
她建议开发者寻求安全团队的帮助，并使用风险登记册引起高层关注。
Pypaert对自动化安全任务有什么看法？
她强烈倡导尽可能自动化安全任务，以减少摩擦并提高效率。
➡️
