向软件开发合作伙伴提出的安全问题及优秀回答背后的证据

本指南面向正在甄选外包开发合作伙伴的创始人、首席技术官、安全负责人和采购团队。我们的软件开发外包指南涵盖成本、团队模式及供应商完整评估清单；本页聚焦其中一个维度：安全。本指南为通用参考，不构成安全审计。

本指南目录

• 为何需要向开发合作伙伴提出不同的问题
• 12个问题及应索取的证据
• 证书能证明什么，不能证明什么
• 如何开展安全评审
• 警示信号
• AI编程工具：需补充的三个问题
• 备选方案与选择标准
• Netbase如何回答这些问题
• 已有的交付记录与尚无的记录
• 本指南的局限性
• 常见问题
• 下一步

为何需要向开发合作伙伴提出不同的问题

软件供应商向您出售成品；开发合作伙伴与您共同构建产品，风险所在之处因此不同。其工程师会向您的代码仓库推送代码、部署到您的云账户、阅读您的需求文档，有时还会接触生产数据。他们的笔记本电脑、账户和工具都将成为您攻击面的一部分，他们所编写的代码将直接构成您产品的安全基础。

因此，对合作伙伴的审查分为两个层面。第一是企业安全：公司如何保护自身、员工和系统。第二是产品安全：为您构建的软件在设计、审查、测试和维护方面如何落实。CISA和FBI在面向软件买家的《Secure by Demand》指南中作出了同样的区分，并特别强调产品安全，而非仅限于供应商自身的管控。大多数通用供应商调查问卷在第一个层面覆盖较好，第二个层面则相对薄弱。

12个问题及应索取的证据

上述清单中有两项比大多数调查问卷更新。关于组件，CISA、NSA、FBI及国际合作伙伴于2026年7月29日发布了《2026年软件物料清单最低要求》，取代了NTIA 2021年版本；索取SBOM如今已是主流要求，而非特例。关于AI工具，详见下文专节。

证书能证明什么，不能证明什么

ISO 27001认证和SOC 2报告是有参考价值的信号，但其回答的问题比买家通常假设的更为有限。

• 覆盖的是公司本身，而非您的产品。信息安全管理体系或一套经审计的管控措施，说明的是供应商如何管理自身运营。它不认证供应商为您构建的应用程序，也不涵盖您的托管环境。
• 覆盖范围至关重要。询问证书或报告涵盖哪些实体、地点和服务，以及您的交付团队是否在该范围之内。
• 类型对SOC 2很重要。AICPA的SOC 2 Type 2示范报告说明，Type 2报告包含审计师对管控措施的测试及其在一段时期内的结果，而不仅仅是对管控措施的描述。
• 日期很重要。证书会过期，报告覆盖的是过去某一时段；请索取最新版本。

没有证书的合作伙伴仍可能在安全实践上表现出色；持有证书的合作伙伴仍可能交付存在安全漏洞的代码。将证书用于缩短审查流程，而非跳过产品安全问题。

警示信号

• 只能说出工具名称，却无法展示其输出结果。
• 使用共享登录，或访问权限从未撤销。
• 您的代码存放在供应商的代码仓库和账户中，而非您自己的。
• 没有书面的安全事件处理流程，或无人负责。
• 真实客户数据默认被复制到测试环境。
• 安全测试仅作为末期可选附加项提供。
• 以证书涵盖您的产品为由进行宣传。

AI编程工具：需补充的三个问题

AI辅助开发如今已是常态，Netbase亦不例外，这带来了三个额外问题。第一，哪些工具可以接触您的代码，这些工具是否已配置为不将您的输入用于训练共享模型？第二，每项AI建议的变更是否均由具名工程师审查，并与人工编写的代码接受相同的测试和扫描？第三，能否针对敏感代码仓库关闭AI辅助功能？无法清晰回答这些问题的合作伙伴，尚未认真思考您的代码流向。Netbase使用主流商业和开源AI工具及模型，按项目选择，所有AI辅助变更均保持在人工审查之下。

备选方案与选择标准

按四个标准进行选择：团队将接触的数据的敏感程度、供应商是否会访问生产环境、合同规模和周期，以及您所在行业是否有自身的规定。

Netbase如何回答这些问题

Netbase的安全实践包括：安全代码审查和版本控制、传输层TLS加密、静态AES加密、基于角色的访问控制、管理后台MFA、漏洞扫描和渗透测试，以及灾难恢复。所有贡献者均在保密协议（NDA）下工作，NDA、数据处理协议和SLA可应客户要求提供。Netbase在欧洲数据隐私方面遵循GDPR对齐原则，在医疗数据处理方面采用HIPAA对齐方法论，在针对美国客户群的项目中遵循CCPA合规实践。

Netbase持有ISO 27001认证和SOC 2 Type II证明。两者均覆盖Netbase自身运营，而非客户的产品或托管环境；证书详情在尽职调查期间分享，不对外公开。在Netbase定制开发项目中，客户拥有为其创建的知识产权；Netbase产品化模块和业务部门产品属于许可授权，而非转让；我们关于外包知识产权保护的指南涵盖了相关条款。大多数Netbase项目在经需求调研后以固定总价合同交付，同样的安全条款适用于专属开发团队；有关权衡，请参阅专属团队与固定总价对比。完整声明见安全与合规页面。

已有的交付记录与尚无的记录

• 已有的记录。自2020年起，Netbase作为离岸开发和管理合作伙伴，参与了一个面向美国客户的多租户云ERP项目，以SaaS形式向中小企业销售；公开记录中隐去了客户名称。Netbase还自主构建并运营SaaS产品Printcart。
• 尚无的记录。Netbase没有已发布的记录说明渗透测试结果、安全事件历史、审计发现或响应时间，上述两项记录均不构成任何特定管控措施的证明。Netbase不公开证书编号、日期、审计机构或覆盖范围。

本指南的局限性

• 本指南帮助您选择合作伙伴，不对您的应用程序进行测试。如需测试，请参阅应用安全保障。
• 支付、医疗等受监管行业有其自身要求；请寻求专业建议。
• 标准持续更新：请在评审当日查阅最新的ASVS、SSDF和SBOM指南。
• 关于项目开始后如何逐版本治理安全，请参阅外包交付软件质量治理和发布就绪清单；质量工程与测试负责执行两者。

下一步

请将您的安全问卷或上述问题发送给我们，我们将预约方案评审，由将负责您项目的工程师逐一讲解我们的回答。您也可以浏览更多Netbase洞察。

相关服务与解决方案