安全设计承诺：致力于打造更安全的数字未来

Wed, 08 May 2024 22:06:03 Z

数字化转型和自动化带来的诸多显著优势——全球互联互通、高效运营、更出色的业务成果——也伴随着同等程度的数字安全担忧。如今，我们已经清楚地认识到，要安全地实现数字化加速带来的优势，整个行业都必须大胆采取行动，保护数字环境并缓解网络安全威胁。

在 Ivanti，这一演进已经展开——而我们致力于走在这场变革的最前沿。作为一家公司，我们始终认为，客户的利益（包括安全）应成为软件开发的基石。随着威胁形势迅速演变，攻击手法日益激进且复杂，将安全置于首位的重要性前所未有。

正因如此，上个月我概述了一项大胆计划，帮助 Ivanti 应对我们共同面对的新现实。我们的工作以安全设计原则为根基，将安全融入软件开发生命周期的每一个阶段。基于这一承诺，我们成为首批签署网络安全和基础设施安全局（CISA）“安全设计承诺”的企业之一，是顺理成章之举；该承诺于 2024 年 5 月 7 日在旧金山 RSA 大会上发布。

安全设计这一理念并不新鲜，但其重要性从未像今天这样突出。它确保产品从构建之初就嵌入安全能力，降低漏洞风险，并让恶意行为者更难加以利用。正因如此，这项承诺在当下意义重大，也正因如此，像 Ivanti 这样的企业正在积极响应号召。我们认为，这是行业围绕安全做出承诺并开展协作的重要一步，也期待为更广泛的生态系统树立新的标准。

大胆提升安全新高度

通过签署安全设计承诺，我们承诺践行一系列原则、标准和行动，以帮助我们进一步提升产品安全性，并更好地保护客户。这包括实施多因素身份验证、减少默认密码的使用、缓解整类漏洞风险、提高安全补丁采用率、建立漏洞披露政策，以及提升客户收集网络安全入侵证据的能力。我很高兴看到，我们的产品和组织已经符合许多安全设计原则；同时，我们也在整个组织和产品开发生命周期中认真寻找各种机会，以强化并加速推进我们的工作和实践。

对 Ivanti 而言，这些承诺绝不只是纸面文字或空洞承诺。通过签署这项承诺，我们公开承诺提高标准，并对兑现承诺负责。未来一年，我们将勤勉推进，在每一项目标上取得可衡量的进展，并向客户和更广泛的安全社区通报我们的进展。我们相信，透明度对于建立信任并培育更广泛的安全文化至关重要。

携手同行，更加强大

作为这项承诺的首批签署方之一，我们已经迈出了重要一步。但我们也认识到，仅凭我们一己之力，无法实现更安全的数字未来。行业中的其他供应商同样需要拥抱安全设计原则，并采取类似行动，将安全作为产品中的优先事项，这一点至关重要。我们诚挚鼓励同行加入我们，签署 CISA 安全设计承诺，并携手朝着保护客户和更广泛数字生态系统的共同目标努力。

这既符合良好的商业实践，也是我们对员工、合作伙伴、客户以及所服务社区应尽的责任。

近期在 RSA 的经历进一步坚定了我们的信念：安全社区必须携手合作，共同应对我们面临的挑战。我们与客户和合作伙伴的交流极具价值，也凸显出围绕软件安全开展集体行动的必要性。通过分享知识和最佳实践，并彼此督促履责，我们能够朝着更强大、更安全的未来迈出坚实步伐。

Ivanti 致力于成为这项工作的领导者，并期待与客户和更广泛的社区互动协作，让安全设计成为新的现实。

我们的安全承诺：Ivanti 首席执行官 Jeff Abbott 的公开信

Wed, 03 Apr 2024 15:01:32 Z

致 Ivanti 尊敬的客户与合作伙伴：

我们始终致力于为随处办公打造最安全的解决方案。近几个月发生的事件让我们深受触动，我希望您能直接听到我说明我们正在采取的行动，以确保我们变得更加强大，并让客户获得更高的安全保障。

我们以及业内许多其他企业都亲眼见证了威胁形势日益复杂，以及威胁行为者策略的具体演变。这些活动使我们的一款产品成为近期所报告安全事件相关讨论的焦点。对此，我们一直积极采取行动，努力保护并支持客户，同时也在深入审视自身的安全态势和流程，确保我们已充分准备好应对当前形势。

我们将借此机会开启 Ivanti 的新时代。我们要求自己以审慎的眼光审视每个流程阶段和每一款产品，确保为客户提供最高水平的保护。我们已经开始将近期事件中获得的经验应用于自身工程和安全实践，进行立即改进。未来还将有更多举措。

我们目前正在执行一项计划，以加速推进已在进行中的安全举措，并实施改进实践，预测、防范并抵御未来威胁。我们已邀请业内最受认可的安全和产品开发专家支持 Ivanti 团队的评估，并提供一流的执行指导，确保我们兑现对您的承诺，让您的组织能够轻松、安全且充满信心地开展工作。该计划得到了重大投资的支持，并获得了董事会和 Ivanti 全体员工的全力支持。

我们的前进方向

我们致力于推进一项广泛变革，从根本上转变 Ivanti 的安全运营模式。这包括：

全面升级核心工程、安全和漏洞管理实践，确保我们当前的产品安全可靠，并确保客户拥有为其组织安全部署这些产品所需的资源。
确保我们创建的所有产品都采用安全设计方法，将安全作为软件开发生命周期中每一个阶段的关键因素。
与关键网络防御机构建立正式合作伙伴关系，确保 Ivanti 产品以及我们在打造这些产品过程中积累的经验能够提升整个安全生态系统。
与客户分享信息和经验，并积极征求反馈，确保我们持续满足他们的需求。

以下是我概述的初步重点领域；随着我们朝着目标不断取得进展，这些领域也将持续演进。

我们面临的挑战在软件行业并非个例，我们致力于采取必要措施，为行业树立引领方向。威胁行为者在不断演变——请相信，我们也会不断进化。

在这一旅程中，我们始终将客户置于中心位置。无论现在还是未来，您的利益与合作伙伴关系都将始终是我们的优先事项。

此致

Jeff Abbott

Ivanti 未来发展计划

1. 加强产品安全并采用安全设计原则。

坚持安全设计：我们的重点是在软件开发生命周期的每个阶段嵌入安全能力，通过稳健流程，从产品构想到部署及后续阶段，预测并预先处理潜在漏洞。我们的方法将包括严格的威胁建模演练，确保安全作为产品的基础要素深度融入其中。这一主动姿态将成为我们承诺的基石，使我们能够加强对客户的保护，并始终领先于新兴威胁。
优化产品以提升安全性和客户信任：我们已经在强化产品组合的整体安全态势。其中包括加速网络安全产品（Ivanti Connect Secure、Policy Secure 和 ZTA）的技术栈现代化，引入多种隔离和反利用技术，以降低未来软件缺陷可能造成的影响。我们致力于在网络安全产品上保持最新的底层操作系统，并进一步集成基于硬件的防护以及远程监控和支持选项，以提升对客户的保护。
减轻客户的安全负担：我们将增强自身能力，提供开箱即安全（Secure by Default）的解决方案，并构建可由 Ivanti 选择性管理、监控和保护的产品。我们将与客户合作，根据其产品线和行业细分领域，确定适当的监控与管理责任级别。
优先关注以客户为中心的安全：我们正在重新分配资源，并在整个组织范围内围绕产品安全进行新的投资。这包括扩大产品安全团队，创建专门的工程与安全协作小组，并在产品组合中推动主动的威胁建模、安全审查以及更全面的渗透测试方法。

2. 提升我们的漏洞管理计划。

通过内部和外部研究识别漏洞：我们致力于改进围绕漏洞发现的流程与协作，从而更好地帮助我们快速识别、修复并报告 Ivanti 产品组合中的安全问题。为此，我们正在强化内部扫描、手动漏洞利用测试能力，邀请可信第三方增强我们的内部研究，并通过改进后的漏洞赏金计划提高激励，促进负责任漏洞披露。
基于风险的补丁管理与漏洞修复：这项强化漏洞管理计划的目标，是及时发现并处理任何潜在问题。虽然这可能自然导致初期发现和披露数量上升，但我们正在工程资源、技术和工作流程方面进行额外投资，以支持基于风险的方法，缩短对客户系统风险最高的产品漏洞的平均补丁修复时间。

3. 为现场安全产品部署提供更强支持。

提升社区门户中安全资源和文档的可访问性：客户将在未来几个月看到社区门户的增强功能，包括由 AI 提供支持的改进搜索功能，可根据客户使用的具体产品提供更有针对性的结果。这将包括补丁信息和文档。我们还将通过实施以客户为中心的反馈生命周期，以及聚焦于在客户环境中应用安全最佳实践的其他用户体验升级，改善客户安全互动。
部署改进且更智能的交互式语音应答（IVR）系统：我们致力于快速有效地为客户提供所需支持。未来几个月，我们将部署由 AI 驱动的交互式语音应答（IVR）系统，以改善客户在呼叫路由方面的体验，向客户提示其产品相关的安全信息，并根据请求自动创建支持案例。
与客户合作升级至最新平台：在我们努力提升最新版本安全性的同时，客户也需要能够在我们最可支持且最安全的平台上运行，从而受益于这些改进。我们正在与客户合作，减少合同、技术或财务方面的阻碍，促进采用最新且最安全的解决方案和安全增强功能，以应对当前威胁形势。
克服本地部署设备安全维护中的实际障碍：我们理解，企业网络的现实管理需要在实际情况与限制之间取得平衡。当客户需要完全本地部署的解决方案时，我们致力于帮助他们在这些限制内运行，同时不损害系统安全。未来几周，我们将与本地部署客户合作，沟通在当前环境中运行其解决方案的经验教训和最佳实践。

4. 与客户和社区共享信息。

信息共享与透明度：健康的客户关系是我们公司成功的核心，在此次事件期间，我们与客户的充分互动以及来自客户的反馈带来了巨大的互惠价值。我们希望确保这种互动持续下去。客户和合作伙伴可以期待 Ivanti 分享经验教训；我们还计划继续邀请外部专家参与客户简报，推出与当前威胁形势相关的专题博客系列，并举办网络研讨会和圆桌会议，与我们的社区共同探讨隐私和安全主题。
成立客户顾问委员会：上述每项举措都需要由客户意见提供指导，并根据客户反馈进行调整。我们将把这一流程制度化，并将在未来几周公布相关计划，收集客户意见，以支持产品开发、功能优先级排序、安全关切以及有关产品路线图的战略决策。

Ivanti 博客: 作者