第四条网络安全审查重点审查网络产品和服务的安全性、可控性，主要包括
产品和服务自身的安全风险，以及被非法控制、干扰和中断运行的风险
产品及关键部件生产、测试、交付、技术支持过程中的供应链安全风险

根据软件供应链的特点，软件供应链的业务流程可以抽象成引入、加工以及应用三个环节

代码解析引擎处理源码，生成CPG图。污点追踪，通过对可控输入进行污点标记，该标记经过的操作，返回值也被标记为污点，到最终的汇聚点，如果形成完整的标记链，则证明漏洞真实可控。使用scala进行检测脚本开发，针对已披露详情的组件漏洞的触发点进行检测，保证漏洞的真实性

无感知自动检测漏洞，效率高
插桩模式精准定位漏洞的代码细节，方便复现和修复
全量API发现，API测试覆盖度展示

基于GDPR、PCI-DSS及相关草案，通过检测程序中的数据类型（密码、银行卡号等）是否明文保存在日志、数据库等对个人隐私数据泄露的违规行为进行检测

项目扫描后的漏洞数据可同步至JIRA、禅道，进行第三方漏洞数据管理

前瞻性的开展合规检测工具研发，开拓了多种业务场景的软件供应链安全解决方案默安科技参与了软件供应链安全相关的国家行业、团体标准研究，共同探讨软件供应链安全管理的具体要求和配套检测工具的技术要求，依托在研标准要求，研发了软件供应链安全检查工具箱产品，在不同业务场景下形成了一些可落地的解决方案，例如关基单位集团网省公司软件供应链安全检测方案自研外采数字化转型软件供应链风险一站式摸排解决方案、政府行业软件供应链安全检查方案等

能源行业：关注存量系统的供应链图谱梳理和漏洞快速应急响应

深圳市xx中心及下属局委办单位，使用的业务系统大部分都是通过合作单位采用外包开发的形式建设的;
外包开发商的安全开发体系欠缺、意识薄弱，缺少安全测试手段;
中心及局委办对于软件供应链的监督管理较弱，不会对外包开发提出一些定制化需求及安全要求
中心及局委办在软件交付及上线前采用的安全测试手段单一、滞后（基本渗透、漏扫）
中心缺乏针对各地局委办以及外包开发商的软件供应链安全管理制度和技术手段（开源风险、供应商管控）