随着信息化、数字化时代的到来，软件已经渗透到社会的各个领域，无论在生活上还是在工作上人们都离不开软件的支持，软件的安全性直接关系到每个人的生命和财产安全，成为支撑社会正常运转的基本条件之一。软件供应链安全包含软件生产和运营过程中编码、工具、设备、供应商及最终交付渠道所面临的安全问题，作为软件安全的重要组成部分，已经成为网络空间安全、攻防对抗的焦点，对保障国家重要信息安全、企事业单位稳定运行具有重要意义。

子芽在其DevSecOps软件供应链安全领域专业著作《DevSecOps敏捷安全》中创造性提出了DevSecOps敏捷安全体系，并洞察到DevSecOps敏捷安全的起源、演进和广泛应用，标志着保障软件供应链安全开始进入一个全新的时代。

如何进行DevSecOps落地，进而保障软件供应链安全？子芽在书中指出DevSecOps实践要想获得成功，离不开以下四大支撑：安全组织和文化、安全流程、安全技术和工具、安全度量和持续改进。他认为企业需要重组安全组织、重塑安全文化，对安全流程进行改造，引入新的安全技术和工具，集成到DevOps流程，并通过安全度量及持续改进（主要包括规范、流程、技术、工具等）优化DevSecOps。只有这些方面同时向前推进，企业建设DevSecOps的成功率才能极大地提升。

图为子芽现场深度解读数字化应用风险面

正所谓“他山之石，可以攻玉”，子芽还在书中详细拆解了国内多个行业头部机构以及Netflix、Salesforce等大型国际组织的DevSecOps落地实践案例，从不同行业的背景、面临的挑战、建设方案及建设特点进行分析，便于企业结合自身安全文化特点、人员能力、技术成熟度等现状去有选择地借鉴。

企业内部一旦形成相对完善的DevSecOps敏捷安全体系，即可着眼于需求分析、研发测试、发布和运营等阶段的全过程风险监控及管理，进而从软件生命周期的源头保障软件供应链安全。子芽在书中明确指出了软件开发生命周期（SDLC）各个阶段的供应链风险面以及通过DevSecOps敏捷安全体系进行治理时的重点和要点。此外，他还具体说明如何在软件产品分发过程中，从软件来源、软件安全合规、软件资产管理、服务支持及安全应急响应等角度进行软件供应链安全管理。

图3悬镜安全创始人兼CEO子芽（左）与机械工业出版社主编杨福川（右）共同为《DevSecOps敏捷安全》新书揭幕

子芽希望通过《DevSecOps敏捷安全》这样一本DevSecOps软件供应链安全领域的专业书籍，借助书中的理论阐述、体系构筑、技术研究、实践沉淀及技术演进预测，推动更多行业用户、技术爱好人员、专家学者及产业智库，结合自身业务和组织特点，去尝试了解、对比学习甚至着手采纳业内领先的DevSecOps敏捷安全体系及落地实践经验，从源头追踪软件供应链安全风险，为企业组织提供内生安全赋能。同时，他也希望本书不仅能够成为新一代敏捷安全体系建设和软件供应链安全保障的指南，也能鼓励更多不同类型的技术力量与DevSecOps软件供应链安全领域开展新的对话。