資安態勢是指組織偵測、應對及修復威脅的能力。包括整個軟體生命週期中，機構人員、硬體、軟體、政策和程序的準備情況。
您可以使用多種架構和工具評估資安態勢，以及瞭解如何減輕威脅。
軟體推送做法
要打造強大的資安態勢，必須以軟體推送最佳做法為穩固基礎，而這些做法不只是導入工具和技術控管措施。舉例來說，如果變更核准程序不清楚，不必要的變更就更容易進入軟體供應鏈。如果團隊不願提出問題，可能會猶豫是否要回報安全性疑慮。
開發運作研究與評估 (DORA) 針對高效能技術團隊的做法和能力進行獨立研究。如要評估團隊的成效，並瞭解改善方法，請使用下列 DORA 資源：
- 歡迎參加 DORA 開發運作快速檢驗，快速瞭解貴機構與其他機構的比較結果。
- 閱讀 DORA 提出的開發運作技術、程序、評估和文化功能。
資安態勢架構
美國國家標準暨技術研究院安全軟體開發架構 (SSDF) 和網路安全評估架構 (CAF) 是政府開發的架構，可協助機構評估安全防護機制，並降低供應鏈威脅。這些架構會考量軟體開發生命週期，以及與軟體安全相關的其他層面，例如事件應變計畫。這些架構的複雜度和範圍可能需要投入大量時間和資源。
軟體構件供應鏈級別 (SLSA) 是一個框架，旨在讓評估和緩解措施的實作過程更平易近人，並可逐步完成。並說明供應鏈威脅和相關的緩解措施，以及提供可實作緩解措施的工具範例。此外，這項功能還會將強化資安態勢的規定分級，方便您優先處理並逐步實作變更。SLSA 主要著重於軟體推送管道，因此您應搭配使用 SSDF 和 CAF 等其他評估工具。
SLSA 的靈感來自 Google 內部的 Borg 適用的二進位授權，這是 Google 所有實際工作環境工作負載的強制執行檢查。
Google Cloud 提供模組化功能和工具，並納入 SLSA 的最佳做法。您可以查看資安態勢的深入分析資訊，包括建構作業的 SLSA 等級。
構件和依附元件管理
瞭解軟體中的安全漏洞，有助於在向客戶發布應用程式前，主動回應並修正潛在威脅。您可以使用下列工具，進一步瞭解安全漏洞。
- 安全漏洞掃描
- 安全漏洞掃描服務 (例如 Artifact Analysis) 可協助您找出軟體中已知的安全漏洞。
- 依附元件管理
Open Source Insights 集中提供開放原始碼軟體相關資訊，包括依附元件圖表、已知安全漏洞和授權。您可以使用該網站瞭解依附元件。
Open Source Insights 專案也提供這項資料，做為Google Cloud 資料集。您可以使用 BigQuery 探索及分析資料。
- 來源控管政策
評估表是一項自動化工具，可識別 GitHub 專案中存在風險的軟體供應鏈做法。
Allstar 是一種 GitHub 應用程式，可持續監控 GitHub 機構或存放區，確保符合設定的政策。舉例來說，您可以對 GitHub 機構套用政策，檢查是否有機構外部的協作者具備管理員或推送存取權。
如要進一步瞭解如何管理依附元件，請參閱「依附元件管理」一文。
團隊的網路安全意識
如果團隊瞭解軟體供應鏈威脅和最佳做法，就能設計及開發更安全的應用程式。
在 2021 年網路安全狀態第 2 部分中，受訪的資訊安全專家表示，網路安全訓練和意識提升計畫對員工意識有正面影響 (46%) 或強烈正面影響 (32%)。
下列資源可協助您進一步瞭解供應鏈安全和 Google Cloud安全：
- Google Cloud 企業基礎藍圖說明如何設定機構架構、驗證與授權、資源階層、網路、記錄、偵測控管機制等。這是Google Cloud 安全性最佳做法中心的其中一個指南。
- 開發安全軟體課程會從軟體供應鏈安全性的角度，講授基礎軟體開發做法。本課程著重於設計、開發及測試程式碼的最佳做法，但也會涵蓋處理安全漏洞揭露、保證案例，以及軟體發布和部署考量等主題。這項訓練課程由開放原始碼安全基金會 (OpenSSF) 製作。
為異動預做準備
找出要進行的變更後，您需要規劃這些變更。
- 找出最佳做法和緩解措施，提升供應鏈的可靠性和安全性。
制定指南和政策，確保團隊能落實變更並持續評估法規遵循情況。舉例來說，貴公司的政策可能包含部署條件，您可以使用二進位授權實作這些條件。下列資源可協助你：
- 最小可行性安全產品：這份安全檢查清單列出各項控制措施，可做為產品資安態勢的基準。您可以使用這份檢查清單，建立最低安全控制措施規定，並評估第三方供應商的軟體。
- NIST Security and Privacy Controls for Information Systems and Organizations (資訊系統和機構的安全與隱私權控管) 出版品 (SP 800-53)。
規劃漸進式變更，以減少每項變更的大小、複雜度和影響。此外，團隊成員也能藉此適應每次的變更、提供意見回饋，並將學到的經驗應用於日後的變更。
下列資源可協助您規劃及實作變更。
開發運作轉型的投資報酬率白皮書說明如何預測開發運作轉型的價值，並證明投入資源的必要性。
Google Cloud 應用程式現代化計畫提供全方位的導向式評估，可衡量重要結果 (速度、穩定性和倦怠)，並找出可改善貴機構這些結果的技術、程序和文化功能。如要進一步瞭解這項計畫，請參閱 CAMP 公告網誌文章。
如何轉型：提供相關指引，協助您規劃及實行變更。培養支持漸進式持續變革的文化，可帶來更成功的變革成果。
NIST 安全軟體交付架構是根據各機構 (例如 The Software Alliance、Open Web Application Security Project 和 SAFECode) 的既有做法，說明軟體安全做法。這項架構包含一組做法，可協助貴機構做好準備，以及實作變更和回應安全漏洞。