01 · 治理成熟度模型（L1—L5）
参照能力成熟度模型（CMM）思想，结合SLSA分级与本课题前七页控制项，将组织供应链安全能力划分为五级。评估以关键制品（基础镜像、发布包、Agent安装包）为单位进行，不以组织平均状态粉饰短板。
| 级别 | 名称 | 特征描述 | 标志性证据 |
|---|---|---|---|
| L1 | 初始级 | 无成分清单；依赖靠手工记录；镜像可直接从公共仓库拉取生产；长期静态凭证散布于CI变量 | 无法回答“Log4Shell是否影响我方”超24小时 |
| L2 | 可重复级 | 关键制品生成SBOM并归档；私有镜像仓库上线并开启扫描；凭证开始集中管理 | SBOM覆盖关键制品100%；扫描报告随制品归档 |
| L3 | 已定义级 | 构建生成SLSA L1+ provenance；镜像签名并在准入侧验证；第三方Action固定SHA；OIDC联邦替代静态云凭证 | 签名率≥90%；准入策略启用并有例外台账 |
| L4 | 已管理级 | SLSA L2—L3构建基线落地；VEX消噪与KEV/EPSS优先级联动；依赖更新SLA（KEV级72小时响应）；供应链事件演练年度化 | KEV修复MTTR≤72小时；VEX采纳率≥80% |
| L5 | 持续优化级 | 成熟度指标季度评审；上游组件信任画像（Scorecard+签名+维护行为）纳入采购；复现构建审计关键制品；参与社区协同防御 | 指标趋势化改进；供应链安全能力对外可举证（CRA/GB/T 43698-2024就绪） |
02 · 国际合规体系映射
| 法规/框架 | 供应链相关要求要点 | 本子课题落地支撑 |
|---|---|---|
| 美国EO 14028（2021年5月12日） | 要求联邦采购软件提供SBOM；推动安全开发标准（后由NIST SSDF承接）与事件通报 | 第3页SBOM生成分发规范；第8页SBOM覆盖率指标 |
| NTIA SBOM最低要素（2021年7月12日） | 数据字段、自动化支持、实践流程三大部分 | 第3页双格式选型与质量检查清单 |
| NIST SSDF SP 800-218（2022年2月） | PO/PS/RV四组安全开发实践 | 第4页映射表（构建基线）、第6—7页控制项 |
| 欧盟CRA Regulation (EU) 2024/2847 | 2024年12月10日生效；漏洞与事件报告义务2026年9月11日先行适用；主要产品义务2027年12月11日全面适用。含数字元素产品需提供安全更新支持期、SBOM等供应链透明度要求；主动利用漏洞的报告时限（Art.14）为：24小时内提交早期预警、72小时内提交正式通知、14天内提交最终报告（无可用补救措施时延至1个月） | 第3页SBOM与VEX、第5页签名举证、第8页事件响应清单（支撑CRA下的厂商义务） |
| CISA开源软件安全路线图（2023年9月） | 联邦政府与开源社区协同：内存安全、CVE/KEV、开源项目安全投入 | KEV优先级联动（第6页）、上游信任画像（第8页L5） |
注：CRA义务时间表以法规官方文本及欧盟委员会实施信息为准；对“重要/关键产品”分类的细则以后续授权法案（delegated acts）为准，本节不作推测性展开。
03 · 国内合规体系映射
| 标准/制度 | 关键要求 | 本子课题落地支撑 |
|---|---|---|
| GB/T 43698-2024《网络安全技术 软件供应链安全要求》（2024-04-25发布，2024-11-01实施） | 软件供应链各环节安全要求：成分识别、供应商管理、风险处置；适用于软件供方与需方 | 第3页成分透明、第5—6页分发验证、本页成熟度评估即为其能力落地的操作化路径 |
| GB/T 43848-2024《网络安全技术 软件产品开源代码安全评价方法》（同日实施） | 开源代码安全评价指标体系 | 开源成分识别数据直接取自SBOM；评价结果纳入上游信任画像 |
| GB/T 36637-2018《信息安全技术 ICT供应链安全风险管理指南》（2019-05-01实施） | ICT供应链风险管理过程框架 | 威胁建模（第2页）与风险处置（本页路线图）提供过程遵循 |
| 《网络安全审查办法》《关基保护条例》相关条款 | 关基运营者采购网络产品服务的供应链安全义务 | 供应商SBOM索取、签名验证与事件通报能力（第3、5、7页）构成审查应对的举证基础 |
合规提示：GB/T 43698-2024与GB/T 43848-2024均已于2024年11月1日实施。涉及党政、关基及重点行业软件采购/供应的组织，应立即开展差距分析：需方侧重点核查“供应商能否提供SBOM与签名制品”，供方侧重点核查“成分识别与发布制品的完整性证明能力”。
04 · 度量指标体系
辅助指标：第三方Action固定SHA比例、provenance生成率、VEX消噪采纳率、构建环境临时化比例、透明度日志异常告警处置时长。所有指标进入季度评审，趋势化呈现于安全运营看板。
05 · 12个月实施路线图（四阶段）
| 阶段 | 主题 | 关键动作 | 出口标准 |
|---|---|---|---|
| Q1 | 盘点与透明 | 关键制品清单梳理；SBOM流水线接入（Syft/cdxgen）；私有仓库扫描门禁上线；凭证资产盘点 | 达L2 |
| Q2 | 证明与签名 | 构建provenance生成（slsa-github-generator等）；cosign keyless签名；准入策略灰度→强制；第三方Action固定SHA | 达L3 |
| Q3 | 运营闭环 | OIDC凭证清零；VEX消噪上线；Dependency-Track持续监测；KEV/EPSS优先级流程；供应链事件桌面演练 | L3固化 |
| Q4 | 度量与举证 | 指标看板与季度评审；GB/T 43698-2024差距分析整改；上游信任画像试点；成熟度复评 | 冲刺L4 |
变革管理要点：供应链改造横跨研发、运维、采购与法务，路线图应与发布节奏对齐（如随大版本切换准入强制），避免“安全断更”；每个阶段设置明确的出口标准，未达标不进入下一阶段，防止范围蔓延。
06 · 伦理与合规声明（全子课题重申）
- 本子课题全部内容为防御性研究与治理方法论，遵守《网络安全法》《数据安全法》《个人信息保护法》；
- 攻击技术细节仅用于防御理解，不构成就职或操作指引；任何供应链检测仅针对自有环境或书面授权目标；
- SBOM、provenance等数据可能包含敏感实现信息，其分发遵循最小必要、访问控制与留存期限管理；
- 引用境外标准（EO 14028、CRA等）仅作方法论参照，国内合规以现行法律法规与国家标准为唯一准绳。
本节参考来源（第8页）
GB/T 43698-2024、GB/T 43848-2024、GB/T 36637-2018——国家标准全文公开系统：openstd.samr.gov.cn。
欧盟CRA Regulation (EU) 2024/2847官方文本：eur-lex.europa.eu/eli/reg/2024/2847/oj。
EO 14028（2021年5月12日）与NTIA SBOM最低要素（2021年7月12日）：federalregister.gov、ntia.gov。
NIST SP 800-218 SSDF v1.1：csrc.nist.gov/pubs/sp/800/218/final。
CISA《Open Source Software Security Roadmap》（2023年9月）：cisa.gov。
OpenSSF Scorecard（上游项目安全画像）：securityscorecards.dev；CISA KEV：cisa.gov/kev。