软件供应链安全的难点是什么？

​在当下这个高度依赖各种软件运行来维持运作的社会，软件供应链的安全，一直是业界关注的焦点。如何保障供应链安全、降低受到网络攻击的让频率、在受击后如何减小损失，每一步都事关我们的日常生活。

可是，更具一份来自Venafi的调查报告显示，82%的企业仍旧在频繁遭受针对软件供应链的网络攻击。为何软件供应链安全问题如此难以被解决呢？痛点大概分为以下几个方面。

1、检测难度大

不同软件开发所使用的开源组件来源复杂，很难通过“一刀切”的模式对所有软件进行监控，导致检测难度大。基于源码的SCA分析，很难对市面上开发完成的第三方产品完整覆盖，导致问题层出不穷。

2、修复成本高

大多数企业往往没有提前进行风险管控的意识，而是在事故发生前后才想到要搭建治理体系。但此时产品已经运营了一段时间，数据量庞大。如果要对底层代码进行维护，往往投入巨大也难见成效。

3、攻击范围广

不少网络攻击会直接针对供应链上游，对供应商自身存在的漏洞与问题进行利用。如此一来，将导致位于该供应链下游的企业与组织，在上游遭受攻击时一同陷入危险状态。并且，上游供应商在提供服务后，下游企业自身人员的专业素质与安全意识，也会关乎实际运营时的风险处理能力。

以上种种可观原因的存在，导致目前软件供应链安全仍旧困扰着企业与组织。在这一问题的治理上，除去技术手段的升级外，更需要搭建好相关的安全监测框架，优化具体流程，给后续解决问题提供通路。

每一个细节，都有可能是制胜的关键。