軟件產(chǎn)業(yè)發(fā)展獲政策扶持，軟件安全市場(chǎng)全面爆發(fā)

    近日，國(guó)務(wù)院發(fā)布了《新時(shí)期促進(jìn)集成電路產(chǎn)業(yè)和軟件產(chǎn)業(yè)高質(zhì)量發(fā)展若干政策的通知》（以下簡(jiǎn)稱(chēng)“《若干政策》”），其中強(qiáng)調(diào)了軟件產(chǎn)業(yè)是信息產(chǎn)業(yè)的核心,是引領(lǐng)新一輪科技革命和產(chǎn)業(yè)變革的關(guān)鍵力量。特別是我國(guó)近年來(lái)軟件產(chǎn)業(yè)的快速發(fā)展,有力支撐了國(guó)家信息化建設(shè),促進(jìn)了國(guó)民經(jīng)濟(jì)和社會(huì)持續(xù)健康發(fā)展。為進(jìn)一步優(yōu)化軟件產(chǎn)業(yè)的發(fā)展環(huán)境,深化產(chǎn)業(yè)國(guó)際合作,提升產(chǎn)業(yè)創(chuàng)新能力和質(zhì)量,國(guó)務(wù)院制定了若干扶持軟件企業(yè)的相關(guān)政策。

　　《若干政策》中的第十八條和第三十三條指出“鼓勵(lì)軟件企業(yè)執(zhí)行軟件質(zhì)量、信息安全、開(kāi)發(fā)管理等國(guó)家標(biāo)準(zhǔn)。提高軟件質(zhì)量,增強(qiáng)行業(yè)競(jìng)爭(zhēng)力。”“完善網(wǎng)絡(luò)環(huán)境下消費(fèi)者隱私及商業(yè)秘密保護(hù)制度,促進(jìn)軟件和信息技術(shù)服務(wù)網(wǎng)絡(luò)化發(fā)展。在各級(jí)政府機(jī)關(guān)和事業(yè)單位推廣符合安全要求的軟件產(chǎn)品和服務(wù)。”這些條款一方面從政策上保障了國(guó)內(nèi)軟件行業(yè)的快速發(fā)展，另一方面也引發(fā)了國(guó)內(nèi)軟件行業(yè)對(duì)如何保障軟件安全問(wèn)題的思考。

國(guó)產(chǎn)基礎(chǔ)軟件迎來(lái)春天

　　前不久，美國(guó)政府單方面宣布將33家中國(guó)公司和機(jī)構(gòu)列入所謂的“實(shí)體清單”，被列入名單的公司、機(jī)構(gòu)與個(gè)人都將禁止使用美國(guó)公司的產(chǎn)品和技術(shù)。目前國(guó)內(nèi)使用的如Windows操作系統(tǒng)，Oracle數(shù)據(jù)庫(kù)管理系統(tǒng)，Office辦公軟件，到CAD，CAE，EDA，CAM，CFD，TCAD等工業(yè)軟件，包含MATLAB在內(nèi)的常用數(shù)值計(jì)算軟件產(chǎn)品幾乎全部來(lái)自于歐美國(guó)家，而這些軟件也已滲透到了國(guó)內(nèi)技術(shù)研發(fā)的方方面面，從高校到企業(yè)，再到政府單位，種種跡象表明，各種軟件斷供的可能性未來(lái)會(huì)越來(lái)越高。

　　更嚴(yán)重的問(wèn)題集中在工業(yè)軟件領(lǐng)域，我國(guó)是制造大國(guó)，制造業(yè)占比全球約50%，吸納超過(guò)1.5億就業(yè)人口，但工業(yè)軟件發(fā)展和應(yīng)用水平卻與與地位不符。國(guó)內(nèi)自主工業(yè)軟件發(fā)展現(xiàn)狀可以概括為“管理軟件強(qiáng)，工程軟件弱；低端軟件多，高端軟件少”。數(shù)據(jù)顯示，2018年我國(guó)工業(yè)軟件市場(chǎng)上，真正把握生產(chǎn)命脈的研發(fā)設(shè)計(jì)軟件和生產(chǎn)控制類(lèi)軟件，自主率只占比13.5%和13.36%。也就是說(shuō)，一方面，國(guó)內(nèi)自主工業(yè)軟件在生產(chǎn)管理、客戶服務(wù)和綜合管理等運(yùn)營(yíng)管理領(lǐng)域發(fā)展相對(duì)較好，在工程研制領(lǐng)域發(fā)展略顯遜色；另一方面，國(guó)內(nèi)自主工業(yè)軟件在低端領(lǐng)域的競(jìng)爭(zhēng)力相對(duì)較高，高端領(lǐng)域很多還是空白。這種受制于人的局面是非常被動(dòng)，更是非常危險(xiǎn)的。

　　圖一：軟件類(lèi)別介紹

　　細(xì)分來(lái)看，我國(guó)研發(fā)設(shè)計(jì)類(lèi)軟件市場(chǎng)80%被國(guó)外公司主導(dǎo)，其中達(dá)索系統(tǒng)和西門(mén)子PLM市場(chǎng)占有率分別19.05%和10.73%；生產(chǎn)控制類(lèi)軟件市場(chǎng)有60%左右市場(chǎng)份額被西門(mén)子、霍尼韋爾、GE等跨國(guó)企業(yè)占據(jù)；信息管理類(lèi)軟件主要由浪潮、用友、金蝶等國(guó)內(nèi)企業(yè)主導(dǎo)，但Oracle、SAP等國(guó)外企業(yè)仍占有15%左右的市場(chǎng)份額。高端產(chǎn)業(yè)領(lǐng)域的專(zhuān)用工業(yè)軟件則幾乎全部被國(guó)外公司壟斷，如：國(guó)內(nèi)集成電路設(shè)計(jì)公司的設(shè)計(jì)工作基本全部依靠Synopsys、Cadence、Mentor三家美國(guó)公司提供的芯片設(shè)計(jì)的電子自動(dòng)化軟件(EDA)；90%的航空企業(yè)采用達(dá)索公司提供的飛機(jī)設(shè)計(jì)軟件。

　　圖二：來(lái)自倪光南院士總結(jié)的中國(guó)網(wǎng)信領(lǐng)域長(zhǎng)短板

　　智能化時(shí)代的到來(lái)，進(jìn)一步凸顯了工業(yè)軟件的戰(zhàn)略意義。美國(guó)GE公司面向2020年的目標(biāo)就是在傳統(tǒng)制造的基礎(chǔ)上成為全球十大軟件公司之一，在硬件與軟件的結(jié)合中尋找新的增長(zhǎng)機(jī)遇。

　　業(yè)內(nèi)人士表示，工業(yè)軟件是制造業(yè)的大腦，是核心指揮系統(tǒng)，缺少了大腦的國(guó)內(nèi)制造業(yè)無(wú)法實(shí)現(xiàn)全生命周期管理。一味的引進(jìn)國(guó)外軟件、設(shè)備和生產(chǎn)線會(huì)使得國(guó)內(nèi)制造業(yè)變成軀殼，變成全球制造業(yè)的執(zhí)行系統(tǒng)。過(guò)度依賴(lài)國(guó)外工業(yè)軟件，失去的不僅是軟件市場(chǎng)，更存在喪失產(chǎn)業(yè)發(fā)展主動(dòng)權(quán)和影響產(chǎn)業(yè)信息安全的風(fēng)險(xiǎn)。

　　在如此中外貿(mào)易摩擦升級(jí)，沒(méi)有國(guó)外軟件可用的外患下，國(guó)家正在大力扶持工業(yè)軟件發(fā)展。工信部召開(kāi)的全國(guó)軟件服務(wù)業(yè)工作座談會(huì)明確指出：要抓住傳統(tǒng)產(chǎn)業(yè)改造升級(jí)的迫切需求，大力發(fā)展工業(yè)軟件和行業(yè)解決方案，大力發(fā)展面向企業(yè)研發(fā)設(shè)計(jì)、生產(chǎn)自動(dòng)化、流程管理等環(huán)節(jié)的工業(yè)軟件、嵌入式軟件以及解決方案等。從中國(guó)制造到中國(guó)創(chuàng)造，工業(yè)軟件是個(gè)橋梁，國(guó)內(nèi)廠商必將迎來(lái)蓬勃發(fā)展的機(jī)會(huì)。

　　特別是國(guó)務(wù)院《若干政策》中，鼓勵(lì)大中型企業(yè)依托信息技術(shù)研發(fā)機(jī)構(gòu)成立專(zhuān)業(yè)化的軟件公司，優(yōu)先在成熟的工業(yè)領(lǐng)域，培育一批具有國(guó)際影響力的工業(yè)軟件企業(yè)，有利于發(fā)揮市場(chǎng)應(yīng)用優(yōu)勢(shì)打造一批知名工業(yè)軟件產(chǎn)品；也建議相關(guān)部門(mén)大力支持國(guó)內(nèi)企業(yè)集團(tuán)發(fā)揮行業(yè)領(lǐng)域優(yōu)勢(shì)和特長(zhǎng)，成立專(zhuān)業(yè)化軟件和信息技術(shù)服務(wù)企業(yè)，培育行業(yè)細(xì)分領(lǐng)域的龍頭軟件企業(yè)，打造知名的軟件產(chǎn)品。

　　清華大學(xué)軟件學(xué)院院長(zhǎng)王建民預(yù)測(cè)，到2025年，我國(guó)將形成自主可控的操作系統(tǒng)與工業(yè)軟件及其標(biāo)準(zhǔn)體系，自主工業(yè)軟件具有滿足市場(chǎng)50%的供給能力，自主工業(yè)互聯(lián)網(wǎng)云平臺(tái)在重點(diǎn)行業(yè)的應(yīng)用普及率超過(guò)60%，工業(yè)軟件市場(chǎng)空間可達(dá)數(shù)千億。

軟件安全不容忽視

　　據(jù)工信部統(tǒng)計(jì)，2019年我國(guó)累計(jì)完成軟件業(yè)務(wù)收入約7.18萬(wàn)億元，軟件和信息技術(shù)服務(wù)業(yè)實(shí)現(xiàn)利潤(rùn)總額9362億元，盈利能力穩(wěn)步提升。受信息技術(shù)服務(wù)加快云化發(fā)展，軟件應(yīng)用服務(wù)化、平臺(tái)化趨勢(shì)明顯，工業(yè)軟件自主化等利好影響，我國(guó)軟件行業(yè)發(fā)展不斷加速，迎來(lái)由量變向質(zhì)變的提升新階段。

　　但與此同時(shí)，我們也要清醒的認(rèn)識(shí)到軟件開(kāi)發(fā)安全和應(yīng)用安全的重要程度，尤其是工業(yè)行業(yè)，作為近年來(lái)地緣政治爭(zhēng)奪和網(wǎng)絡(luò)空間對(duì)抗的主戰(zhàn)場(chǎng)，攻擊事件頻發(fā)、多發(fā)。僅今年上半年，就有包括以色列水利基礎(chǔ)設(shè)施、伊朗重要港口朗沙希德·拉賈伊、某汽車(chē)制造商、某葡萄牙跨國(guó)能源公司在內(nèi)的多個(gè)大型工業(yè)企業(yè)、政府機(jī)構(gòu)遭到攻擊，以色列官員更是承認(rèn)經(jīng)濟(jì)損失已成為最不重要的損失。世界形式持續(xù)緊張，各種玩家粉墨登場(chǎng)，攻擊覆蓋行業(yè)面廣，石油、能源、電力、制造、水利、公共設(shè)施，無(wú)一幸免。攻擊手段綜合復(fù)雜，數(shù)據(jù)竊取、隱蔽控制、勒索謀財(cái)，無(wú)所不用。

　　新興的智能工業(yè)時(shí)代使安全成為全球工業(yè)組織的首要任務(wù)，工控系統(tǒng)的復(fù)雜化、IT化和通用化加劇了系統(tǒng)的安全隱患。尤其是以云、開(kāi)源、微服務(wù)為代表的工業(yè)互聯(lián)網(wǎng)，其開(kāi)發(fā)過(guò)程大量使用第三方組件和開(kāi)源軟件提高軟件迭代效率，但可能有意或無(wú)意將第三方組件和開(kāi)源軟件安全缺陷引入軟件，并將隨著軟件的使用而擴(kuò)散。

　　根據(jù)Sonatype的軟件供應(yīng)鏈報(bào)告顯示，Java、JavaScript和Python的開(kāi)源組件數(shù)量已分別達(dá)到了350萬(wàn)個(gè)、550萬(wàn)個(gè)和到140萬(wàn)個(gè)。對(duì)中央倉(cāng)庫(kù)中350萬(wàn)個(gè)Java組件的分析結(jié)果顯示，超過(guò)10%的組件至少包含一個(gè)已知漏洞；事實(shí)上，研究人員發(fā)現(xiàn)，這些組件中有共計(jì)300多萬(wàn)個(gè)漏洞，任何一個(gè)漏洞都可能成為攻擊者的攻擊目標(biāo)。

　　越底層的東西，搭建難度就越大。不重復(fù)造輪子是我國(guó)軟件行業(yè)快速自主化彎道超車(chē)發(fā)展的驅(qū)動(dòng)力，但大量使用開(kāi)源算法和框架也有可能是在不牢固的地基上蓋樓，一旦底層出現(xiàn)問(wèn)題，后果不堪設(shè)想。

安全開(kāi)發(fā)行業(yè)市場(chǎng)將迎來(lái)爆發(fā)增長(zhǎng)

　　在國(guó)家高度重視網(wǎng)絡(luò)安全保障的情況下，沒(méi)有經(jīng)過(guò)合理安全開(kāi)發(fā)、充分安全測(cè)試、有效消除缺陷的“自帶漏洞”軟件產(chǎn)品大量涌入市場(chǎng)、投入實(shí)際應(yīng)用，必將為已初步成形的國(guó)家網(wǎng)絡(luò)安全保障態(tài)勢(shì)帶來(lái)新的隱患。

　　微軟于2004年提出安全開(kāi)發(fā)生命周期（SDL），已有十多年歷史，在幫助開(kāi)發(fā)人員構(gòu)建更安全的軟件和解決安全合規(guī)要求的同時(shí)降低開(kāi)發(fā)成本的軟件開(kāi)發(fā)過(guò)程的方法論和工具，重新進(jìn)入了我國(guó)軟件行業(yè)的視野。不同于網(wǎng)絡(luò)安全在開(kāi)發(fā)完成后對(duì)軟件的數(shù)據(jù)交換進(jìn)行防控，安全開(kāi)發(fā)旨在從開(kāi)發(fā)階段將黑客對(duì)軟件的攻擊面最小化，從源頭杜絕安全問(wèn)題。

據(jù)統(tǒng)計(jì)，應(yīng)用安全開(kāi)發(fā)流程工具的平均成本占軟件開(kāi)發(fā)總成本的3%到5%，卻可以避免因安全事故或黑客入侵而造成遠(yuǎn)高于整體開(kāi)發(fā)成本的損失。       Aberdeen Group的研究表明，采取“從源頭保證安全”策略的公司，其每年在應(yīng)用安全方面的投資可實(shí)現(xiàn)高達(dá)4倍的收益，著名的研究公司Forrester Research再次證實(shí)了這一發(fā)現(xiàn)，聲稱(chēng)需求分析層面糾正安全缺陷的成本，比現(xiàn)場(chǎng)修復(fù)的成本低100倍。

　　圖三：Microsoft 提出的SDL安全開(kāi)發(fā)生命周期模型

　　業(yè)界已普遍意識(shí)到把安全從運(yùn)維端左移到開(kāi)發(fā)過(guò)程中，才是更優(yōu)的選項(xiàng)。如微軟這樣的大型企業(yè)也無(wú)法避免軟件安全漏洞所帶來(lái)的損失，國(guó)內(nèi)軟件行業(yè)也將會(huì)同樣面臨安全問(wèn)題所帶來(lái)的嚴(yán)峻考驗(yàn)。國(guó)產(chǎn)軟件行業(yè)爆發(fā)的同時(shí)，安全需求市場(chǎng)也必將快速崛起。

　　隨著云計(jì)算的普遍應(yīng)用，微服務(wù)架構(gòu)與容器技術(shù)的使用趨向成熟，既為企業(yè)業(yè)務(wù)高速發(fā)展提供了充足的技術(shù)保障，又對(duì)軟件開(kāi)發(fā)運(yùn)維工作帶來(lái)了更高的要求。各企業(yè)適用的開(kāi)發(fā)運(yùn)維模型不盡相同，有瀑布模型、敏捷模型、DevOps等，軟件安全一直都是貫穿始終的核心，形成不同的安全開(kāi)發(fā)模型。在軟件開(kāi)發(fā)生命周期(Software Development Life Cycle)內(nèi)，不同的安全開(kāi)發(fā)模型，適用場(chǎng)景各有側(cè)重：SDL安全開(kāi)發(fā)模型適用于系統(tǒng)軟件，如操作系統(tǒng)，編譯處理軟件，數(shù)據(jù)庫(kù)及管理系統(tǒng)，硬件控制系統(tǒng)等，具有綜合性，周期長(zhǎng)，迭代慢等特點(diǎn)，其開(kāi)發(fā)過(guò)程如同瀑布流程，一步一步地進(jìn)行分析，預(yù)測(cè)，實(shí)現(xiàn)，測(cè)試，實(shí)施和支持階段；DevSecOps安全開(kāi)發(fā)模型適用于應(yīng)用軟件，如文字表格處理，圖形圖像處理，統(tǒng)計(jì)演示軟件，網(wǎng)絡(luò)通信軟件等，具有周期短、迭代快、市場(chǎng)反饋靈活等特點(diǎn)，與傳統(tǒng)開(kāi)發(fā)流程相比，能夠幫助企業(yè)更快的發(fā)展和改進(jìn)產(chǎn)品，更好的服務(wù)其客戶，并在市場(chǎng)上高效的參與競(jìng)爭(zhēng)。

　　開(kāi)源網(wǎng)安的核心理念與此次國(guó)務(wù)院頒布的《若干政策》可謂不謀而合。開(kāi)源網(wǎng)安一直以來(lái)秉承“讓企業(yè)交付更安全的軟件”的核心理念，致力于幫助企業(yè)提升軟件的安全與質(zhì)量，持續(xù)向客戶提供覆蓋軟件安全開(kāi)發(fā)全生命周期的安全產(chǎn)品、解決方案、安全培訓(xùn)及安全服務(wù)。

　　其中開(kāi)源網(wǎng)安軟件安全全生命周期平臺(tái)（S-SDLC）整合了安全開(kāi)發(fā)流程、方法、工具，幫助企業(yè)快捷交付安全、可靠的軟件。平臺(tái)繼承開(kāi)源網(wǎng)安龐大的威脅數(shù)據(jù)庫(kù)和安全需求庫(kù)，全面覆蓋軟件開(kāi)發(fā)從架構(gòu)設(shè)計(jì)到部署運(yùn)維各個(gè)階段的安全需求。以打造安全的軟件產(chǎn)品為核心目標(biāo)，基于差距分析和現(xiàn)有開(kāi)發(fā)流程，著重構(gòu)造安全開(kāi)發(fā)能力，可定制化交付。

　　圖四：開(kāi)源網(wǎng)安S-SDLC平臺(tái)解決方案

　　除此之外，開(kāi)源網(wǎng)安還提供灰盒安全測(cè)試平臺(tái)(VulHunter)、開(kāi)源組件安全及合規(guī)管理平臺(tái)(SourceCheck)、代碼審核平臺(tái)（CodeSec）、模糊測(cè)試平臺(tái)（SFuzz）、實(shí)時(shí)應(yīng)用自我防護(hù)平臺(tái)（RASP）等多項(xiàng)產(chǎn)品，同時(shí)，基于各產(chǎn)品綜合特性，進(jìn)行優(yōu)化組合，提供DevSecOps平臺(tái)解決方案，為保障軟件安全保駕護(hù)航。

　　《若干政策》的出臺(tái)將進(jìn)一步推動(dòng)軟件行業(yè)的高速發(fā)展，而保障軟件安全則是發(fā)展的重中之重。開(kāi)源網(wǎng)安作為“軟件安全行業(yè)的創(chuàng)領(lǐng)者” 及國(guó)內(nèi)領(lǐng)先的軟件安全全生命周期（S-SDLC）解決方案提供商，未來(lái)將不斷提升自身水準(zhǔn)，緊跟國(guó)家政策，助力政府及企業(yè)保障軟件安全，為推動(dòng)我國(guó)軟件產(chǎn)業(yè)實(shí)現(xiàn)高質(zhì)量發(fā)展作出貢獻(xiàn)。