先给依赖的东西做体检：供应链安全风险评估

摘要：没装恶意软件也中招，问题出在你依赖的东西上。盘依赖、评风险、持续跟，供应链安全讲透。

没装来路不明的软件也中招？问题多半出在你依赖的东西上。供应链安全风险评估，就是把依赖对象——开源组件、供应商、更新通道——逐个拿出来体检，别等出事才知道谁带的病，体检要成制度，不能靠记性。

盘依赖是头一步：用了哪些开源组件、什么版本、来自哪里，合作方清单里谁碰数据、谁有权限，列清楚。供应链安全风险评估没有这张底单，后面全是空谈——底单至少每季度更新一次，新引入的组件和合作方当月就入册。

评估看什么：开源组件的已知漏洞与维护活跃度，供应商的安全资质与数据处理方式，更新与交付通道的可信校验。评估结论分档管理：高风险的限期整改，改不动的找替代——供应链安全风险评估要出得来结论。

持续运转：曝出新漏洞时，靠底单反查自己中不中；供应商重大变更触发重评。开源组件的版本升级要排进迭代计划，供应链安全风险评估做的是动态账，不是一次性体检，账本长年不翻的团队，出了事头一个懵，账本勤翻，风险才有底。

常见误区别踩：以为买了商业组件就没风险——商业软件一样有漏洞，一样要进底单；以为开源组件用得少就没事——一个传递依赖就能把风险带进来。评估的口径是“所有进你系统的东西都算”，供应商的代码、固件、更新包一视同仁，评估清单宁滥勿缺——清单越全，反查越快。

一句话：信任要验证，依赖要记账。供应商年年评、组件版本季季查，供应链安全风险评估才能算真落地。安言咨询提供供应链安全评估、组件治理与代码审计服务，把底单管起来风险就有账可查，欢迎交流。