应对‘零CVE’后遗症的良方是透明度
💡
原文英文，约1000词，阅读约需4分钟。
📝
内容提要
追求“零CVE”在软件安全中不可行，反而会分散资源。企业应采用透明的漏洞管理策略，关注实际风险，而非消除所有CVE。通过建立信任、标准化平台和聚焦特定风险，才能有效提升安全性。
🎯
关键要点
- 追求“零CVE”在软件安全中不可行，分散了资源。
- 企业应采用透明的漏洞管理策略，关注实际风险。
- 现代软件应用复杂，难以实现零CVE状态。
- 零CVE概念存在缺乏上下文、信任破裂和阻碍战略安全工作的缺陷。
- 安全管理应拥抱透明度和平台中心策略。
- 建立与软件供应商的透明合作关系，减少第三方扫描的需求。
- 采用平台方法实现标准化和控制，集中管理关键风险。
- 专注于应用特定风险，采取“安全设计”的风险管理方法。
- 零CVE思维是一个谬论，需转向透明、信任和平台化的方法。
❓
延伸问答
为什么追求‘零CVE’在软件安全中不可行？
追求‘零CVE’不可行，因为现代软件应用复杂，难以实现完全无漏洞的状态，且此理念会分散资源，忽视实际风险。
企业应如何管理软件漏洞？
企业应采用透明的漏洞管理策略，关注实际风险，而非追求消除所有CVE。
‘零CVE’思维有哪些缺陷？
‘零CVE’思维缺乏上下文，容易导致信任破裂，并阻碍战略安全工作。
如何建立与软件供应商的信任关系？
通过透明地披露所有漏洞，包括开源组件中的漏洞，来建立与软件供应商的信任关系。
平台中心策略在安全管理中有什么优势？
平台中心策略可以实现标准化和控制，集中管理关键风险，减少攻击面。
如何有效应对软件中的安全漏洞？
应专注于应用特定风险，采取‘安全设计’的风险管理方法，持续进行安全升级。
➡️
