40 年信息安全老兵谈保障应用安全的三个关键

NetSPI 顾问撰文指出，行业过度聚焦应用安全而忽视其他风险：其渗透测试中 90%–95% 都能通过薄弱的网络与系统配置拿下整个环境，数据库配置、嵌入式口令与信任关系问题普遍，社工与物理渗透依然是最容易的突破口，主张多层综合测试。

安全应贯穿整个开发生命周期，而非上线前的最后一次检查。作者勾勒了软件安全保证计划的应有组成，以及落地时绕不开的预算现实。

文章认为，在 Mythos 等营销热度之外，受监管行业需要的是 AI 安全工具的一致性、可靠性与可审计性；当前多数 LLM 系统缺乏企业级确定性、错误处理与信任边界，短期内难以成为可广泛依赖的能力。

了解传统第三方风险管理为何失效，以及 CISO 应向供应商提出哪些要求（包括持续渗透测试），以有效管理第三方风险。

与其频繁更换渗透测试供应商追逐“新鲜视角”，不如与可信伙伴长期合作：熟悉环境带来更高效率、历史漏洞趋势数据与更深入的风险洞察，平台化资产也便于验证整改成效。

金融、医疗等强监管行业常被要求定期更换渗透测试服务商。文章梳理了何时该更换供应商的信号、评估新服务商的关键标准，以及经专家复核的漏洞发现对测试质量的意义，帮助测试项目平稳过渡。