安全使用第三方应用须注意这四个问题

目前，对黑客而言，操作系统日益难以实施攻击，这主要是由于厂商或开发者对有漏洞的代码能够更好更快地打补丁。现在，第三方的应用成为企业遭受损害的主要媒介。

在运行第三方的软件时，不管这些软件是外包的、开源的，还是现成的商品化软件，企业都必须保持警惕。根据以往的案例，大多数被利用的漏洞都属于第三方软件。调查显示，运行在企业中的多数应用程序都来自第三方，但很少有企业会去部署控制来评估这些应用的安全性。

残酷的现实要求企业必须采取行之有效的措施来减轻第三方应用带来的风险：

首先要测试这些应用。企业IT要制定标准，使第三方应用既要满足公司标准，同时又满足合规需求。然后，再与合伙人和厂商合作测试这些应用程序。有些权威评测机构（如，中国信息安全测评中心、中国软件评测中心）也可以评估、扫描和自动或手动测试这种代码。

其次，使打补丁过程正式化。以 前，不少企业非常重视给Windows等操作系统打补丁，对第三方应用的安全检查和安全补丁的重视程度却远远不够。如今，市场上有不少可以为第三方应用集 中地、自动地打补丁的工具，企业不妨利用这种工具使打补丁过程正式化，区分补丁的优先次序，确保所有漏洞都能够及时地得到修补。

第三，要问开发商。对第三方软件的管理至关重要。企业IT可以就安全标准和测试问题来询问第三方开发者。还要构建一种成熟的策略，要求第三方开发者同意遵循企业的策略和指南。

第四，注意合规警告。有一些规范和行业要求（其中就包括大名鼎鼎的PCI DSS3.0）非常重视第三方的安全。这些规范和行业指南对企业如何安全地使用第三方应用提出的建议和措施，值得企业去思考和实施。

企业使用的第三方应用影响着企业的形象和品牌。如果攻击者利用了某个第三方应用的一个漏洞，攻击了公司的服务器并窃取了敏感数据，那么企业将会遭受由此带来的高昂成本，其中包括严重的商誉损失。所以，企业在采用第三应用时，必须高度关注安全问题。