致 Ivanti 尊敬的客户与合作伙伴：

我们始终致力于为随处办公打造最安全的解决方案。近几个月发生的事件让我们深受触动，我希望您能直接听到我说明我们正在采取的行动，以确保我们变得更加强大，并让客户获得更高的安全保障。

我们以及业内许多其他企业都亲眼见证了威胁形势日益复杂，以及威胁行为者策略的具体演变。这些活动使我们的一款产品成为近期所报告安全事件相关讨论的焦点。对此，我们一直积极采取行动，努力保护并支持客户，同时也在深入审视自身的安全态势和流程，确保我们已充分准备好应对当前形势。

我们将借此机会开启 Ivanti 的新时代。我们要求自己以审慎的眼光审视每个流程阶段和每一款产品，确保为客户提供最高水平的保护。我们已经开始将近期事件中获得的经验应用于自身工程和安全实践，进行立即改进。未来还将有更多举措。

我们目前正在执行一项计划，以加速推进已在进行中的安全举措，并实施改进实践，预测、防范并抵御未来威胁。我们已邀请业内最受认可的安全和产品开发专家支持 Ivanti 团队的评估，并提供一流的执行指导，确保我们兑现对您的承诺，让您的组织能够轻松、安全且充满信心地开展工作。该计划得到了重大投资的支持，并获得了董事会和 Ivanti 全体员工的全力支持。

我们的前进方向

我们致力于推进一项广泛变革，从根本上转变 Ivanti 的安全运营模式。这包括：

  1. 全面升级核心工程、安全和漏洞管理实践，确保我们当前的产品安全可靠，并确保客户拥有为其组织安全部署这些产品所需的资源。
  2. 确保我们创建的所有产品都采用安全设计方法，将安全作为软件开发生命周期中每一个阶段的关键因素。
  3. 与关键网络防御机构建立正式合作伙伴关系，确保 Ivanti 产品以及我们在打造这些产品过程中积累的经验能够提升整个安全生态系统。
  4. 与客户分享信息和经验，并积极征求反馈，确保我们持续满足他们的需求。

以下是我概述的初步重点领域；随着我们朝着目标不断取得进展，这些领域也将持续演进。

我们面临的挑战在软件行业并非个例，我们致力于采取必要措施，为行业树立引领方向。威胁行为者在不断演变——请相信，我们也会不断进化。

在这一旅程中，我们始终将客户置于中心位置。无论现在还是未来，您的利益与合作伙伴关系都将始终是我们的优先事项。

此致

Jeff Abbott

Ivanti 未来发展计划

1. 加强产品安全并采用安全设计原则。

  • 坚持安全设计：我们的重点是在软件开发生命周期的每个阶段嵌入安全能力，通过稳健流程，从产品构想到部署及后续阶段，预测并预先处理潜在漏洞。我们的方法将包括严格的威胁建模演练，确保安全作为产品的基础要素深度融入其中。这一主动姿态将成为我们承诺的基石，使我们能够加强对客户的保护，并始终领先于新兴威胁。
  • 优化产品以提升安全性和客户信任：我们已经在强化产品组合的整体安全态势。其中包括加速网络安全产品（Ivanti Connect Secure、Policy Secure 和 ZTA）的技术栈现代化，引入多种隔离和反利用技术，以降低未来软件缺陷可能造成的影响。我们致力于在网络安全产品上保持最新的底层操作系统，并进一步集成基于硬件的防护以及远程监控和支持选项，以提升对客户的保护。
  • 减轻客户的安全负担：我们将增强自身能力，提供开箱即安全（Secure by Default）的解决方案，并构建可由 Ivanti 选择性管理、监控和保护的产品。我们将与客户合作，根据其产品线和行业细分领域，确定适当的监控与管理责任级别。
  • 优先关注以客户为中心的安全：我们正在重新分配资源，并在整个组织范围内围绕产品安全进行新的投资。这包括扩大产品安全团队，创建专门的工程与安全协作小组，并在产品组合中推动主动的威胁建模、安全审查以及更全面的渗透测试方法。

2. 提升我们的漏洞管理计划。

  • 通过内部和外部研究识别漏洞：我们致力于改进围绕漏洞发现的流程与协作，从而更好地帮助我们快速识别、修复并报告 Ivanti 产品组合中的安全问题。为此，我们正在强化内部扫描、手动漏洞利用测试能力，邀请可信第三方增强我们的内部研究，并通过改进后的漏洞赏金计划提高激励，促进负责任漏洞披露。
  • 基于风险的补丁管理与漏洞修复：这项强化漏洞管理计划的目标，是及时发现并处理任何潜在问题。虽然这可能自然导致初期发现和披露数量上升，但我们正在工程资源、技术和工作流程方面进行额外投资，以支持基于风险的方法，缩短对客户系统风险最高的产品漏洞的平均补丁修复时间。

3. 为现场安全产品部署提供更强支持。

  • 提升社区门户中安全资源和文档的可访问性：客户将在未来几个月看到社区门户的增强功能，包括由 AI 提供支持的改进搜索功能，可根据客户使用的具体产品提供更有针对性的结果。这将包括补丁信息和文档。我们还将通过实施以客户为中心的反馈生命周期，以及聚焦于在客户环境中应用安全最佳实践的其他用户体验升级，改善客户安全互动。
  • 部署改进且更智能的交互式语音应答（IVR）系统：我们致力于快速有效地为客户提供所需支持。未来几个月，我们将部署由 AI 驱动的交互式语音应答（IVR）系统，以改善客户在呼叫路由方面的体验，向客户提示其产品相关的安全信息，并根据请求自动创建支持案例。
  • 与客户合作升级至最新平台：在我们努力提升最新版本安全性的同时，客户也需要能够在我们最可支持且最安全的平台上运行，从而受益于这些改进。我们正在与客户合作，减少合同、技术或财务方面的阻碍，促进采用最新且最安全的解决方案和安全增强功能，以应对当前威胁形势。
  • 克服本地部署设备安全维护中的实际障碍：我们理解，企业网络的现实管理需要在实际情况与限制之间取得平衡。当客户需要完全本地部署的解决方案时，我们致力于帮助他们在这些限制内运行，同时不损害系统安全。未来几周，我们将与本地部署客户合作，沟通在当前环境中运行其解决方案的经验教训和最佳实践。

4. 与客户和社区共享信息。

  • 信息共享与透明度：健康的客户关系是我们公司成功的核心，在此次事件期间，我们与客户的充分互动以及来自客户的反馈带来了巨大的互惠价值。我们希望确保这种互动持续下去。客户和合作伙伴可以期待 Ivanti 分享经验教训；我们还计划继续邀请外部专家参与客户简报，推出与当前威胁形势相关的专题博客系列，并举办网络研讨会和圆桌会议，与我们的社区共同探讨隐私和安全主题。
  • 成立客户顾问委员会：上述每项举措都需要由客户意见提供指导，并根据客户反馈进行调整。我们将把这一流程制度化，并将在未来几周公布相关计划，收集客户意见，以支持产品开发、功能优先级排序、安全关切以及有关产品路线图的战略决策。