零售商必须重视软件安全以护航数字化增长
新冠疫动摇零售业并加速数字化转型：2020年美国在线零售激增，假日电商销售额同比飙升49%。
面对巨大流量，零售商的数字化阵地必须稳健安全。Web应用需满足客户对易用性与速度的要求，但43%的数据泄露源于应用层漏洞，应用安全至关重要。
随着在线零售激增、应用对营收驱动作用日益关键，零售商亟需洞见以强化应用安全。
Veracode最新《软件安全现状报告》（SoSS）揭示了包括零售酒店业在内的各垂直行业应用漏洞频次。报告显示：
- 26%的零售应用存在高严重性安全缺陷
- 76%的零售应用存在缺陷
- 74%的零售缺陷总数正在修复中
为解读这些数据，可将零售业与其他行业对比，了解零售商在应用安全与客户保护方面的表现。零售应用缺陷率高，四分之三以上应用至少含一处缺陷。尽管漏洞普遍，零售业修复率达74%，仅次于金融服务业的75%，优于医疗、制造、科技与政府部门。
与高修复率类似，零售业缺陷修复速度最快，平均应用仅需125天修复半数已知缺陷。虽起步缺陷较多，但开发人员迅速投入修复，以提升应用安全、保护客户数据。
总体而言，零售业修复应用漏洞的有效性令人欣慰。但结合过去一年看意味着什么？新常态推动各行业深度数字化，应用流量普遍激增，零售业尤甚。
值得注意的是，SoSS报告发现55%的零售酒店业严重缺陷属于信息泄露类。此类缺陷一旦被利用，将摧毁客户对零售品牌的信任、毁损品牌声誉。底线是：随着客户互动转移线上，零售应用安全必须持续提升。组织须迎接挑战，将安全贯穿软件开发生命周期，高频常态化开展安全扫描，结合静态与动态分析等多种扫描手段识别缺陷。
应用安全团队应持续提升修复速度，但零售业改善安全态势的最佳路径之一，是从源头限制进入应用的缺陷数量。
对构建部署应用的开发人员开展安全教育，有助于达成此目标。培训开发者规避常见安全缺陷、从编写之初就编写安全代码，将减少新增缺陷，进而让现有缺陷修复更从容。由此，零售组织的AppSec项目将更好地支撑更快的发布节奏，而不拖慢开发效率。
Chris Eng系Veracode首席研究官。
工业技术