向软件开发合作伙伴提问的安全问题及优质答案背后的证据

本指南适用于正在筛选开发合作伙伴的创始人、CTO、安全负责人及采购团队。我们的软件开发外包指南涵盖成本、团队模式及更广泛的供应商评估清单；本页则深入探讨其中一项：安全性。这是通用指导，而非安全审计。

本指南内容

• 为何需要向开发合作伙伴提出不同的问题
• 12个问题及应索取的证据
• 证书能证明什么，不能证明什么？
• 如何开展安全审查
• 警示信号
• AI编码工具：需要补充的三个问题
• 备选方案与选择标准
• Netbase如何回答这些问题
• 现有交付记录及不存在的记录
• 本指南的局限性是什么？
• 常见问题
• 下一步

为何需要向开发合作伙伴提出不同的问题

软件供应商向您出售成品。开发合作伙伴与您共同构建产品，这改变了风险所在之处。其工程师会向您的代码仓库推送代码、部署至您的云账户、阅读您的规格说明，有时还会接触生产数据。他们的笔记本电脑、账户和工具成为您攻击面的一部分，他们编写的代码也成为您产品安全性的组成部分。

因此，合作伙伴评审包含两个方面。第一是企业安全：公司如何保护自身、员工及其系统。第二是产品安全：为您构建的软件在设计、审查、测试和维护方面的安全性。CISA和FBI在其面向软件采购方的《安全需求指南》中做出了同样的区分，并着重强调产品安全，而不仅仅是供应商自身的控制措施。大多数通用供应商问卷在第一方面覆盖较好，在第二方面则覆盖不足。

12个问题及应索取的证据

上述清单中有两项比大多数问卷更新。关于组件，CISA、NSA、FBI及国际合作伙伴于2026年7月29日发布了《2026年软件物料清单最低要素》，取代了2021年NTIA的要素；索取SBOM现已是主流要求，而非罕见举措。关于AI工具，请参阅下文专节。

证书能证明什么，不能证明什么？

ISO 27001认证和SOC 2报告是有价值的参考信号，但它们所回答的问题往往比采购方预期的要窄。

• 它们涵盖的是公司，而非您的产品。信息安全管理体系或一套经审计的控制措施，说明的是供应商如何运营自身。它并不认证供应商为您构建的应用程序，也不涵盖您的托管环境。
• 范围很重要。请询问证书或报告涵盖哪些主体、地点和服务，以及您的交付团队是否在该范围之内。
• 类型对SOC 2而言很重要。AICPA的示例性SOC 2 Type 2报告表明，Type 2报告包含审计师对控制措施的测试及一段时期内的测试结果，而不仅仅是对控制措施的描述。
• 日期很重要。证书会过期，报告涵盖的是过去某一时期；请索取当前有效的版本。

没有证书的合作伙伴仍可以很好地践行安全，而持有证书的合作伙伴仍可能交付不安全的代码。使用证书来缩短审查范围，但绝不能因此跳过产品相关问题。

警示信号

• 答案中提到了工具，但无法展示其输出结果。
• 使用共享登录，或访问权限从未被撤销。
• 您的代码存储在供应商的代码仓库和账户中，而非您自己的。
• 没有书面的事件处理流程，或无人负责。
• 真实客户数据默认被复制到测试环境中。
• 安全测试仅作为最后阶段的可选附加项提供。
• 将证书呈现为若它涵盖了您的产品。

AI编码工具：需要补充的三个问题

AI辅助工程现已普及，包括在Netbase，这带来了三个额外问题。第一，哪些工具可以看到您的代码，它们是否已配置为不将您的输入用于训练共享模型？第二，每处AI建议的变更是否都由具名工程师审查，并经过与人工编写代码相同的测试和扫描？第三，对于敏感代码仓库，您是否可以关闭AI辅助功能？无法明确回答这些问题的合作伙伴，尚未认真思考过您的代码流向何处。Netbase与主流商业和开源AI工具及模型合作，按项目选用，每处AI辅助的变更均保持人工审查。关于检查点设计本身，请参阅我们的AI生成代码安全审查门。

备选方案与选择标准

根据四项标准做出选择：团队将接触的数据的敏感程度、供应商是否会访问生产环境、合同规模与期限，以及您所在行业是否有自身的规定。

Netbase如何回答这些问题

Netbase的安全实践包括：安全代码审查与版本控制、传输中使用TLS加密、静态数据使用AES加密、基于角色的访问控制、管理员后台的MFA、漏洞扫描与渗透测试，以及灾难恢复。贡献者在保密协议下工作，客户可按需获取保密协议、数据处理协议和SLA。Netbase针对欧洲数据隐私遵循GDPR对齐规范，针对医疗数据处理采用HIPAA对齐方法，并针对拥有美国客户群的客户遵循CCPA合规实践。

Netbase与ISO 27001和SOC 2 Type II保持一致。两者均涵盖Netbase自身的运营，而非客户的产品或托管环境，证书详情在尽职调查期间共享，不对外公布。在Netbase定制开发项目中，客户拥有为其创建的知识产权，而Netbase产品化模块和商业事业部产品采用许可方式，不作转让；我们的外包时保护知识产权指南涵盖了相关条款。大多数Netbase项目在发现阶段后以固定总价合同交付，同样的安全条款也适用于专属开发团队；关于两种方式的权衡，请参阅专属团队与固定总价的比较。完整声明请见安全与合规页面。

现有交付记录及不存在的记录

• 现有记录。自2020年起，Netbase作为离岸开发及管理合作伙伴参与了一个面向美国客户的多租户云ERP SaaS平台，以SaaS形式销售给中小型企业；公开记录隐去了客户名称。Netbase还构建并运营自有SaaS产品Printcart。
• 不存在的记录。Netbase没有任何已发布的记录说明渗透测试结果、安全事件历史、审计发现或响应时间，上述两份记录也均非任何特定控制措施的证据。Netbase不公布证书编号、日期、审计机构或覆盖范围。

本指南的局限性是什么？

• 它帮助您选择合作伙伴；它不测试您的应用程序。为此，请参阅应用程序安全保障。
• 支付或医疗等受监管行业有其自身的要求；请寻求专业建议。
• 标准在变化：在审查当天查阅最新的ASVS、SSDF和SBOM指南。
• 关于在工作开始后按版本管理安全发布，请参阅外包交付的软件质量治理和发布准备清单；质量工程与测试负责两者的运行。

下一步

向我们发送您的安全问卷或上述问题，我们将预约解决方案审查，由将领导您项目的工程师逐一讲解我们的答案。您也可以浏览更多Netbase洞见。

相关服务与解决方案