59% 公共部门的应用程序长期存在安全漏洞
原文中文，约1400字，阅读约需4分钟。
📝
内容提要
根据Veracode数据，公共部门应用程序存在更多安全漏洞，需加强网络安全措施，减少安全风险。安全债务主要集中在旧版应用程序中，需关注第一和第三方代码。Java和.NET应用程序是公共部门的重要债务来源。将安全设计作为标准方法很重要。
🔎
延伸解读
安全债务的积累与修复优先级
公共部门应用程序中，59%存在超过一年未修复的漏洞，远高于其他行业的42%。这些漏洞经过多年积累形成安全债务，其中40%的机构存在严重漏洞。但报告指出，所有漏洞中仅不到1%构成关键安全债务，且三分之二的漏洞存在不到一年或严重程度不高。因此，集中资源优先修复关键债务，再根据风险承受能力处理非关键漏洞，是更高效的风险管理策略。
旧版应用与第三方依赖的风险
公共部门的安全债务主要集中在旧版应用程序中，尤其是使用时间较长、规模较大的应用。虽然93%的安全债务影响第一方代码，但55.5%的关键债务来自第三方依赖。这意味着仅关注自身代码不足够，还需重视开源软件安全。Java和.NET应用程序是重要债务来源，提示技术栈选择与维护策略也影响安全状况。
政策推动与供应商责任
面对日益严重的网络攻击威胁，联邦政府正加强网络安全措施。2024年3月，CISA与OMB联合发布《安全软件开发声明表》，要求联邦供应商对不安全软件负责。这一政策趋势表明，公共部门在采购软件时需更注重供应商的安全实践，将安全设计作为标准方法，以系统性减少安全风险。
❓
Q&A
公共部门应用程序的安全漏洞比例是多少？
59%的公共部门应用程序存在未修复的安全漏洞。
公共部门面临哪些网络安全风险？
公共部门面临日益严重的网络攻击威胁，尤其是黑客攻击的风险。
如何减少公共部门的安全债务？
需要关注第一和第三方代码，并将安全设计作为标准方法。
公共部门的安全债务主要集中在哪些方面？
安全债务主要集中在旧版应用程序和第三方依赖上。
公共部门应用程序中没有漏洞的比例是多少？
只有3%的公共部门应用程序不存在漏洞。
联邦政府在网络安全方面采取了哪些措施？
联邦政府正在实施网络安全加强措施，要求供应商对不安全软件负责。
🏷️
