最佳实践
供应商与开源组件治理
把第三方供应商与开源组件纳入统一治理，明确安全责任与信息要求，减少供应链盲区。
实施步骤
1
建立组件准入
对引入的组件与供应商设定安全准入要求。
2
要求信息透明
要求供应商提供组件信息与安全更新支持承诺。
3
持续监控风险
持续跟踪组件与供应商的安全动态。
4
明确责任边界
在合同中明确各方的安全责任与配合义务。
常见误区
- 对开源组件缺乏统一台账，漏洞来时无从下手。
- 合同中未约定安全责任，问题发生时责任不清。
把第三方供应商与开源组件纳入统一治理，明确安全责任与信息要求，减少供应链盲区。
对引入的组件与供应商设定安全准入要求。
要求供应商提供组件信息与安全更新支持承诺。
持续跟踪组件与供应商的安全动态。
在合同中明确各方的安全责任与配合义务。