CCRC 软件供应链安全首考成绩单出炉，合格率 83.93% 的背后隐忧！

#网安头条 ·2026-09-10 17:02:14

近日，网数中心信息安全基准实验室发布了《软件产品开源代码安全评价能力评估的结果分析报告》，这是国内首次围绕软件供应链安全组织的能力评估，来自18个省区市的56家检测机构接受了这场统一命题的大考，按照满分100分、50分合格的判定标准，47家机构过关，合格率定格在83.93%。 

单看数字，这份成绩单并不难看，可平均分只有59.12分，距离及格线不足十分，将合格率与平均分放在一起读，结论就是超八成合格更像是一道低门槛托起来的体面，行业整体能力恰好卡在及格线附近徘徊，谈胜任还为时尚早。

更值得警惕的是本次评估设置了八个检测项，开源代码规模与占比作为观察项不计分，其余七项均按GB/T 43848-2024《网络安全技术 软件产品开源代码安全评价方法》的关键指标逐项判分，各检测项平均得分率差距悬殊。

其中许可证兼容性成为全场最弱一项，56家机构里15家在这道题上交了白卷，占比26.8%，且无一家拿到满分。

这个结果其实并不意外，漏洞扫描有成熟工具链支撑，各家机构练得熟，而许可证兼容性判断要同时理解授权范围、授权条件、违约与授权终止这些法律条款在软件工程语境下的含义，自动化工具顶多给出线索，最终裁决还得靠人的复合知识，多数机构的能力体系里压根没有这一环，一考就露了底。

而托管平台信息核查一项平均得分率43.15%，同样有5家机构零分，两极分化最典型的是下载平台完整性保障，近半数机构拿下满分，仍有4家颗粒无收，工具用得顺手的机构与完全没摸到门道的机构，被同一张考卷清晰地分成了两个群体。这个现象比平均分更真实，它说明行业能力不是均匀地弱，而是断层式地参差，遇到懂行的甲方，这种差距根本藏不住。

特别是把这次评估放回政策背景中看，隐忧会更清晰。国务院第834号令明确要求提升产业链供应链安全可控水平，五部委联合印发的指导意见提出以专业高效的检验检测保障产业链供应链可靠性，GB/T 43848-2024正是这条政策链在软件领域落地的技术抓手，首考发证意味着官方能力标尺已经立起来了，往后进入这个市场的机构，都要在这把尺子下量出自己的位置。

标尺立起来之后，照出来的差距就是绕不开的功课。报告给机构提出的三条建议——加强标准研读、优化工具选型、规范检测过程，句句戳中当下通病，工具堆砌换不来得分，检测记录无法追溯同样要失分。这些都不是买几套软件能解决的问题，需要的是把标准条款逐条拆解成检测动作，再让每个动作留下可复核的痕迹，功夫在工具之外。

首考的意义从来不在放榜那一刻，而在它给整个行业划出的能力基线，开源代码早已渗透进绝大多数软件产品，评价能力的洼地最终会传导为供应链安全的洼地，56家机构暴露出的短板，恰恰就是接下来全行业要补齐的地方。