核心觀點
Oracle 首席安全官 Mary Ann Davidson 在 WWW 2006 (愛丁堡) 大會上直指軟件行業痛點：
「若有個星球是由軟件開發者建造的，一定沒人想去住。」
「多數軟件工程師根本不考慮安全、穩定性問題。」
「普遍的『事後修補』心態，讓這 590 億美元市場付出巨大代價。」
震撼類比
「若造橋工程師用軟件開發心態搭橋，高速公路開到一半橋上會出現藍屏死機嗎？」
行業現狀
- 企業高管普遍抱怨軟件供應商交付質量根本不合格；
- CSO Council 非正式調查：多數安全長認為行業亟需法規標準約束；
- Davidson 警告：若行業不自我規範，外部法規介入不可避免，「業界總不想被監管，但若不想那天來臨，就得自己管好自己。」
深層原因分析
- 教育缺位：計算機科學課程極少將安全作為核心必修；
- 激勵錯位：功能交付優先、安全投入無直接 ROI、技術債務隱性累積；
- 流程缺失：缺乏安全開發生命週期 (SDL)、威脅建模、代碼安全審查、滲透測試常態化機制；
- 生態碎片化：開源組件供應鏈安全、第三方庫漏洞傳遞、版本管理混亂。
Oracle 內部實踐作為行業標桿
- 19 次獨立安全評估，數據庫 17 次評估，投入 1700 萬美元驗證安全性；
- 正式安全開發流程、安全編碼標準、全球安全編碼培訓；
- 每版本安全驗收標準、內外部紅隊滲透測試；
- 源碼靜態掃描工具鏈集成 CI/CD；
- 季度 CPU 機制、風險矩陣、Out-of-band 緊急響應。
行業行動倡議
- 高校納入安全編碼必修學分；
- 行業協會制定軟件安全成熟度模型 (如 BSIMM、OpenSAMM) 推廣認證；
- 採購方在招標合同中嵌入安全交付驗收條款；
- 建立軟件物料清單 (SBOM) 強制披露機制，提升供應鏈透明度；
- 推動關鍵基礎設施軟件強制安全認證立法。
安全不是功能，是質量屬性；不是事後修補，是設計內生。從「修補文化」走向「構建文化」，需要教育、工程、管理、法治四輪驅動。Oracle 的實踐證明：大規模商業軟件同樣可以實現高安全基線，關鍵在於組織意志與系統工程投入。
