向软件开发合作伙伴提问的安全问题及优质答案背后的证据

本指南适用于正在筛选代码开发合作伙伴的创始人、CTO、安全负责人和采购团队。我们的软件开发外包指南涵盖成本、团队模式及更广泛的供应商评估清单；本页深入探讨其中一项：安全性。本文为通用指导，不构成安全审计。

本指南内容

• 为何需要向开发合作伙伴提出不同的问题
• 12个问题及应索取的证据
• 证书能证明什么，不能证明什么
• 如何开展安全评审
• 警示信号
• AI编码工具：需补充的3个问题
• 备选方案与选择标准
• Netbase如何回答这些问题
• 现有交付记录与不存在的内容
• 本指南的局限性
• 常见问题
• 下一步

为何需要向开发合作伙伴提出不同的问题

软件供应商向您出售成品。开发合作伙伴则与您共同构建产品，这改变了风险所在。其工程师向您的代码仓库提交代码、部署到您的云账户、阅读您的需求说明，有时还会接触生产数据。他们的笔记本电脑、账户和工具成为您攻击面的一部分，他们编写的代码构成您产品的安全基础。

因此，合作伙伴评审包含两个层面。第一是企业安全：公司如何保护自身、员工和系统。第二是产品安全：为您构建的软件如何设计、评审、测试和维护。CISA和FBI在其面向软件买家的《安全需求指南》中作出同样区分，并强调产品安全，而非仅关注供应商自身的控制措施。大多数通用供应商问卷对第一层面覆盖较好，对第二层面覆盖不足。

12个问题及应索取的证据

上述清单中有两项比大多数问卷更新。关于组件：CISA、NSA、FBI及国际合作伙伴于2026年7月29日发布了《2026年软件物料清单最低要素》，取代了2021年NTIA要素；索取SBOM如今是主流做法，而非特殊要求。关于AI工具，请参阅下方章节。

证书能证明什么，不能证明什么

ISO 27001认证和SOC 2报告是有用的信号，但它们回答的问题往往比买家预期的更为有限。

• 它们覆盖的是公司，而非您的产品。信息安全管理体系或一套经审计的控制措施，说明的是供应商如何管理自身。它不认证供应商为您构建的应用，也不认证您的托管环境。
• 覆盖范围至关重要。请询问证书或报告覆盖哪些实体、地点和服务，以及您的交付团队是否在该范围内。
• SOC 2的类型很重要。AICPA的SOC 2 Type 2示范报告表明，Type 2报告包含审计师对控制措施的测试及一段时间内的测试结果，而不仅仅是对控制措施的描述。
• 日期很重要。证书会过期，报告覆盖的是过去的时段；请索取最新版本。

没有证书的合作伙伴仍可能具备良好的安全实践，有证书的合作伙伴仍可能交付不安全的代码。请用证书缩短评审流程，而非跳过产品安全问题。

警示信号

• 能说出工具名称，却无法展示其输出结果。
• 共享登录凭据，或从不撤销访问权限。
• 您的代码存放在供应商的代码仓库和账户中，而非您自己的。
• 没有书面的事件处理流程，或无人负责。
• 默认将真实客户数据复制到测试环境。
• 安全测试仅作为最后阶段的可选附加项提供。
• 以证书暗示其覆盖您的产品。

AI编码工具：需补充的3个问题

AI辅助工程现已成为常态，包括在Netbase，这带来了3个新问题。第一，哪些工具可能接触您的代码，它们是否已配置为不以您的输入训练共享模型？第二，每处AI建议的变更是否都由具名工程师审查，并经过与人工代码相同的测试和扫描？第三，对于敏感代码仓库，您是否可以关闭AI辅助？无法清晰回答这些问题的合作伙伴，尚未认真考虑您的代码流向。Netbase使用主流商业和开源AI工具及模型，按项目选择，且每处AI辅助的变更均保持人工审查。

备选方案与选择标准

按四项标准进行选择：团队将接触的数据敏感程度、供应商是否会访问生产环境、合同规模和期限，以及您所在行业是否有自身的规定。

Netbase如何回答这些问题

Netbase的安全实践包括：安全代码审查和版本控制、传输中使用TLS加密、静态存储使用AES加密、基于角色的访问控制、管理后台启用MFA、漏洞扫描与渗透测试，以及灾难恢复。贡献者签署保密协议（NDA），NDA、数据处理协议和SLA可应客户要求提供。Netbase遵循欧洲数据隐私的GDPR对齐方法、医疗数据处理的HIPAA对齐方法，以及面向拥有美国客户群的客户的CCPA合规实践。

Netbase持有ISO 27001认证和SOC 2 Type II鉴证报告。两者均覆盖Netbase自身运营，不涵盖客户的产品或托管环境，证书详情在尽职调查期间共享，而非公开发布。在Netbase定制开发中，客户拥有为其创建的知识产权，而Netbase产品化模块和业务部门产品采用许可方式，而非转让；我们的外包知识产权保护指南涵盖相关条款。大多数Netbase项目在发现阶段后以固定总价合同交付，相同的安全条款同样适用于专属开发团队；参见专属团队与固定总价对比了解权衡取舍。完整声明见安全与合规页面。

现有交付记录与不存在的内容

• 现有内容。自2020年起，Netbase作为离岸开发和管理合作伙伴，参与了一个面向美国客户的多租户云ERP SaaS平台，以SaaS方式销售给中小企业；公开记录不披露客户名称。Netbase还构建并运营自有SaaS产品Printcart。
• 不存在的内容。Netbase没有任何已发布的记录披露渗透测试结果、事件历史、审计发现或响应时间，上述两项记录也不构成任何特定控制措施存在的证据。Netbase不公开证书编号、日期、审计机构或覆盖范围。

本指南的局限性

• 本指南帮助您选择合作伙伴，不对您的应用进行测试。如需测试，请参阅应用安全保障。
• 支付或医疗等受监管行业有其自身要求；请寻求专业建议。
• 标准会更新：评审当天请核查最新的ASVS、SSDF和SBOM指南。
• 如需在工作开始后逐版本管理安全发布，请参阅外包交付的软件质量治理和发布就绪清单；质量工程与测试负责运行两者。

常见问题

应向软件开发公司询问哪些安全问题？询问其安全开发流程、代码审查、安全测试、对您系统的访问、个人数据处理、第三方组件、分包商、事件响应、AI工具使用及认证情况，并要求提供每项答复背后的证据。

ISO 27001或SOC 2是否足以信任开发合作伙伴？不够。两者均描述供应商如何管理自身安全，不认证其为您构建的软件，因此您仍需提出产品安全问题并索取证据。

开发合作伙伴是否应提供SBOM？是的，对于任何将在生产环境中运行的软件均应如此。软件物料清单列出每次发布中包含的组件，便于您追踪许可证和新发现的漏洞。

谁应拥有代码仓库和云账户？应由您拥有。以具名账户和MFA邀请合作伙伴的工程师，使访问权限可在无需供应商协助的情况下进行审查和撤销。

下一步

将您的安全问卷或上述问题发送给我们，我们将预约方案评审，由将负责您项目的工程师带您逐一了解我们的答复。您也可以浏览更多Netbase见解。

相关服务与解决方案