研發(fā)運營安全白皮書

1、研發(fā)運營安全白皮書前言近年來，安全事件頻發(fā)，究其原因，軟件應(yīng)用服務(wù)自身存在代碼安全漏洞，被黑客利用攻擊是導(dǎo)致安全事件發(fā)生的關(guān)鍵因素之一。隨著信息化的發(fā)展，軟件應(yīng)用服務(wù)正在潛移默化的改變著生活的各個方面，滲透到各個行業(yè)和領(lǐng)域，其自身安全問題也愈發(fā)成為業(yè)界關(guān)注的焦點。傳統(tǒng)研發(fā)運營模式之中，安全介入通常是在應(yīng)用系統(tǒng)構(gòu)建完成或功能模塊搭建完成之后，位置相對滯后，無法完全覆蓋研發(fā)階段的安全問題。在此背景下，搭建整體的研發(fā)運營安全體系，強調(diào)安全左移，覆蓋軟件應(yīng)用服務(wù)全生命周期安全，構(gòu)建可信理念是至關(guān)重要的。本白皮書首先對于研發(fā)運營安全進(jìn)行了概述，梳理了全球研發(fā)運營安全現(xiàn)狀，隨后對于信通院牽頭搭建的研發(fā)運營

2、安全體系進(jìn)行了說明，歸納了研發(fā)運營安全所涉及的關(guān)鍵技術(shù)。最后，結(jié)合當(dāng)前現(xiàn)狀總結(jié)了研發(fā)運營安全未來的發(fā)展趨勢，并分享了企業(yè)組織研發(fā)運營安全優(yōu)秀實踐案例以供參考。目錄 HYPERLINK l _bookmark0 一、研發(fā)運營安全概述 HYPERLINK l _bookmark0 1 HYPERLINK l _bookmark1 （一）研發(fā)層面安全影響深遠(yuǎn)，安全左移勢在必行 HYPERLINK l _bookmark1 1 HYPERLINK l _bookmark2 （二）覆蓋軟件應(yīng)用服務(wù)全生命周期的研發(fā)運營安全體系 HYPERLINK l _bookmark2 4 HYPERLINK l _b

3、ookmark3 二、研發(fā)運營安全發(fā)展現(xiàn)狀 HYPERLINK l _bookmark3 5 HYPERLINK l _bookmark4 （一）全球研發(fā)運營安全市場持續(xù)擴大 HYPERLINK l _bookmark4 5 HYPERLINK l _bookmark7 （二）國家及區(qū)域性國際組織統(tǒng)籌規(guī)劃研發(fā)運營安全問題 HYPERLINK l _bookmark7 7 HYPERLINK l _bookmark9 （三）國際標(biāo)準(zhǔn)組織及第三方非盈利組織積極推進(jìn)研發(fā)運營安全共識 HYPERLINK l _bookmark9 12 HYPERLINK l _bookmark11 （四）企業(yè)積極探索

4、研發(fā)運營安全實踐 HYPERLINK l _bookmark11 14 HYPERLINK l _bookmark13 （五）開發(fā)模式逐步向敏捷化發(fā)展，研發(fā)運營安全體系隨之向敏捷化演進(jìn) HYPERLINK l _bookmark13 19 HYPERLINK l _bookmark15 三、研發(fā)運營安全關(guān)鍵要素 HYPERLINK l _bookmark15 21 HYPERLINK l _bookmark16 （一）覆蓋軟件應(yīng)用服務(wù)全生命周期的研發(fā)運營安全體系 HYPERLINK l _bookmark16 22 HYPERLINK l _bookmark17 （二）研發(fā)運營安全解決方案同步

5、發(fā)展 HYPERLINK l _bookmark17 31 HYPERLINK l _bookmark18 四、研發(fā)運營安全發(fā)展趨勢展望 HYPERLINK l _bookmark18 41 HYPERLINK l _bookmark19 附錄：研發(fā)運營安全優(yōu)秀實踐案例 HYPERLINK l _bookmark19 43 HYPERLINK l _bookmark20 （一）華為云可信研發(fā)運營案例 HYPERLINK l _bookmark20 43 HYPERLINK l _bookmark21 （二）騰訊研發(fā)運營安全實踐 HYPERLINK l _bookmark21 50 HYPERL

6、INK l _bookmark22 （三）國家基因庫生命大數(shù)據(jù)平臺研發(fā)運營安全案例 HYPERLINK l _bookmark22 58圖 目 錄圖 1 Forrester 外部攻擊對象統(tǒng)計數(shù)據(jù)2圖 2 研發(fā)運營各階段代碼漏洞修復(fù)成本3圖 3 研發(fā)運營安全體系4圖 4 Cisco SDL 體系框架圖16圖 5 VMware SDL 體系框架圖17圖 6 微軟 SDL 流程體系20圖 7 DevSecOps 體系框架圖21圖 8 研發(fā)運營安全解決方案階段對應(yīng)圖32表 目 錄 HYPERLINK l _bookmark5 表 1 2019-2020 全球各項安全類支出及預(yù)測6 HYPERLINK

7、l _bookmark6 表 2 2019-2020 中國各項安全類支出及預(yù)測7 HYPERLINK l _bookmark8 表 3 重點國家及區(qū)域性國際組織研發(fā)運營安全相關(guān)舉措12 HYPERLINK l _bookmark10 表 4 國際標(biāo)準(zhǔn)組織及第三方非營利組織研發(fā)運營安全相關(guān)工作14 HYPERLINK l _bookmark12 表 5 企業(yè)研發(fā)運營安全具體實踐19 HYPERLINK l _bookmark14 表 6 SDL 與 DevSecOps 區(qū)別對照21一、 研發(fā)運營安全概述（一）研發(fā)層面安全影響深遠(yuǎn)，安全左移勢在必行隨著信息化的發(fā)展，軟件應(yīng)用服務(wù)正在潛移默化的改變著

8、生活的各個方面，滲透到各個行業(yè)和領(lǐng)域，軟件應(yīng)用服務(wù)的自身安全問題也愈發(fā)成為業(yè)界關(guān)注的焦點。全球安全事件頻發(fā)，代碼程序漏洞是關(guān)鍵誘因之一。2017 年，美國最大的征信機構(gòu)之一 Equifax 因未能及時修補已知的安全漏洞發(fā)生一起涉及 1.48 億用戶的數(shù)據(jù)安全、隱私泄露事件，影響幾乎一半的美國人口；國內(nèi)電商因優(yōu)惠券漏洞被惡意牟利，酒店、求職等網(wǎng)站也曾發(fā)生數(shù)據(jù)安全事件，泄露百萬級、億級用戶隱私數(shù)據(jù)。究其原因， 軟件應(yīng)用服務(wù)自身安全漏洞被黑客利用攻擊是數(shù)據(jù)安全事件層出不窮關(guān)鍵因素之一。根據(jù) Verizon 2019 年的研究報告Data Breach Investigations Report，在總

9、計核實的 2013 次數(shù)據(jù)泄露安全事件中，超過 30%與 Web 應(yīng)用程序相關(guān)，Web 應(yīng)用程序威脅漏洞具體指程序中的代碼安全漏洞以及權(quán)限設(shè)置機制等。Forrester 2019 年發(fā)布的 調(diào) 查 報 告 Forrester Analytics Global Business Technographics Security Survey，2019中顯示，在 283 家全球企業(yè)已經(jīng)確認(rèn)的外部攻擊中，針對軟件漏洞以及 Web 應(yīng)用程序是位于前兩位的，分別占比達(dá)到了 40%與 37%，具體數(shù)據(jù)見圖 1，其中軟件漏洞主要指對于安全漏洞的利用攻擊，攻擊 Web 應(yīng)用程序主要指基于程序的SQL 注入、跨站

10、腳本攻擊等。1%6%20%19%14%25% 30% 35% 40% 45%40%37%28%25%25%25%25%0%5% 10% 15% 20%軟件漏洞（漏洞利用）Web應(yīng)用程序（SQL注入、跨站腳本 使用被盜憑證（加密秘鑰）DDoS水坑攻擊移動惡意軟件利用丟失/被盜資產(chǎn)DNS釣魚勒索軟件社會工程學(xué)其他數(shù)據(jù)來源：Forrester圖 1 Forrester 外部攻擊對象統(tǒng)計數(shù)據(jù)根據(jù)咨詢公司Gartner 統(tǒng)計數(shù)據(jù)顯示，超過 75%的安全攻擊發(fā)生在代碼應(yīng)用層面。已知安全漏洞中，應(yīng)用程序安全漏洞與 Web 應(yīng)用程序安全漏洞占多數(shù)。美國國家標(biāo)準(zhǔn)技術(shù)研究院（NIST）的統(tǒng)計數(shù)據(jù)顯示 92%的漏洞

11、屬于應(yīng)用層而非網(wǎng)絡(luò)層。國家計算機網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心2020 年 4 月的發(fā)布的數(shù)據(jù)顯示，2019 年，國家信息安全漏洞共享平臺（CNVD）收錄的安全漏洞數(shù)量創(chuàng)下歷史新高，數(shù)量同比增長 14.0%，達(dá)到 16193 個，其中應(yīng)用程序漏洞占比 56.2%，Web 應(yīng)用程序占比 23.3%，二者相加占比超過 76%，充分說明安全漏洞大多存在于軟件應(yīng)用服務(wù)本身。傳統(tǒng)研發(fā)運營安全模式中，安全介入相對滯后。傳統(tǒng)研發(fā)運營安全，針對服務(wù)應(yīng)用自身的安全漏洞檢測修復(fù)，通常是在系統(tǒng)搭建或者功能模塊構(gòu)建完成之后以及服務(wù)應(yīng)用上線運營之后，安全介入，進(jìn)行安全掃描，威脅漏洞修復(fù)。如當(dāng)前的大多數(shù)安全手段，防病毒、防火墻

12、、入侵檢測等，都是關(guān)注軟件交付運行之后的安全問題，屬于被動防御性手段。這種模式便于軟件應(yīng)用服務(wù)的快速研發(fā)部署，但安全介入相對滯后，并無法覆蓋研發(fā)階段代碼層面的安全，安全測試范圍相對有限，安全漏洞修復(fù)成本也更大。安全左移有助于幫助企業(yè)削減成本。代碼是軟件應(yīng)用服務(wù)開發(fā)的最初形態(tài)，其缺陷或漏洞是導(dǎo)致安全問題的直接根源，盡早發(fā)現(xiàn)源碼缺陷能夠大大降低安全問題的修復(fù)成本。根據(jù)美國國家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）統(tǒng)計，在發(fā)布后執(zhí)行代碼修復(fù)，其修復(fù)成本相當(dāng)于在設(shè)計階段執(zhí)行修復(fù)的 30 倍。具體數(shù)據(jù)如圖 2 所示。數(shù)據(jù)來源：美國國家標(biāo)準(zhǔn)與技術(shù)研究所（NIST）圖 2 研發(fā)運營各階段代碼漏洞修復(fù)成本在此背景下，搭

13、建新型的研發(fā)運營安全體系，進(jìn)行安全左移，覆蓋軟件應(yīng)用服務(wù)的全生命周期，是至關(guān)重要，也是勢在必行的。建立新型的研發(fā)運營安全體系有助于構(gòu)建可信理念，創(chuàng)造可信生態(tài)，是實現(xiàn)軟件應(yīng)用服務(wù)全生命周期安全的重要一步。 PAGE 4（二）覆蓋軟件應(yīng)用服務(wù)全生命周期的研發(fā)運營安全體系新型研發(fā)運營安全體系強調(diào)安全左移，覆蓋軟件應(yīng)用服務(wù)全生命周期。本白皮書認(rèn)為的研發(fā)運營安全指結(jié)合人員管理體系、制度流程， 在軟件應(yīng)用服務(wù)設(shè)計早期便引入安全，進(jìn)行安全左移，覆蓋要求階段、安全需求分析階段、設(shè)計階段、研發(fā)階段、驗證階段、發(fā)布階段、運營階段、停用下線階段的全生命周期，搭建安全體系，降低安全問題解決成本，全方面提升服務(wù)應(yīng)用安全

14、，提升人員安全能力。具體架構(gòu)體系如下圖 3 所示。圖 3 研發(fā)運營安全體系圖片來源：中國信息通信研究院體系框架具體內(nèi)容包括：1）管理制度，建立合適的人員組織架構(gòu)與制度流程，保證研發(fā)運營流程安全的具體實施，針對人員進(jìn)行安全培訓(xùn)，增強安全意識，進(jìn)行相應(yīng)考核管理；2）明確安全要求，前期明確安全要求，如設(shè)立質(zhì)量安全門限要求，進(jìn)行安全審計，對于第三方組件進(jìn)行安全管理等；3）安全需求分析與設(shè)計，在研發(fā)階段之前， 進(jìn)行安全方面的需求分析與設(shè)計，從合規(guī)要求以及安全功能需求方面考慮，進(jìn)行威脅建模，確定安全需求與設(shè)計；4）安全研發(fā)測試，搭配安全工具確保編碼實際安全，同時對于開源及第三方組件進(jìn)行風(fēng)險管理，在測試過程

15、中，針對安全、隱私問題進(jìn)行全面、深度的測試；5） 安全發(fā)布，服務(wù)上線發(fā)布前進(jìn)行安全性審查，制定事先響應(yīng)計劃，確保發(fā)布安全；6）運營安全，上線運營階段，進(jìn)行安全監(jiān)控與安全運營，通過滲透測試等手段進(jìn)行風(fēng)險評估，針對突發(fā)事件進(jìn)行應(yīng)急響應(yīng)， 并及時復(fù)盤，形成處理知識庫，匯總研發(fā)運營階段的安全問題，形成反饋機制，優(yōu)化研發(fā)運營全流程；7）停用下線，制定服務(wù)下線方案與計劃，明確隱私保護(hù)合規(guī)方案，確保數(shù)據(jù)留存符合最小化原則，滿足國家相關(guān)規(guī)范要求。二、 研發(fā)運營安全發(fā)展現(xiàn)狀（一）全球研發(fā)運營安全市場持續(xù)擴大全球信息安全市場保持穩(wěn)定增長，應(yīng)用安全市場增速高于整體安全市場。本白皮書提出的研發(fā)運營安全強調(diào)安全左移，通

16、過自動化安全測試工具，關(guān)注軟件應(yīng)用服務(wù)代碼層面安全，與應(yīng)用安全緊密關(guān)聯(lián)。根據(jù)Gartner 2020 年 6 月發(fā)布的統(tǒng)計數(shù)據(jù)顯示，全球 2019 年各項安全類支出總計 1209.34 億美元，預(yù)計 2020 年將達(dá)到 1238.18 億美元，其中應(yīng)用安全市場規(guī)模 2019 年為 30.95 億美元，預(yù)計 2020 年將達(dá)到市場領(lǐng)域20192020增長率（%）應(yīng)用安全309532876.2云安全43958533.3數(shù)據(jù)安全266228527.2身份訪問管理9837104095.8基礎(chǔ)設(shè)施保護(hù)16520174835.8綜合風(fēng)險管理455547313.8網(wǎng)絡(luò)安全設(shè)備1338711694-12.6其

17、他信息安全軟件220622733.1安全服務(wù)61979642703.7客戶安全軟件62546235-0.3總計1209341238182.4億美元，年增長率達(dá)到 6.2%，明顯高于整體信息安全市場的2.4%年增長率，具體數(shù)據(jù)如表 1 所示。數(shù)據(jù)來源：Gartner，2020 年 6 月表 1 2019-2020 全球各項安全類支出及預(yù)測（單位：百萬美元）我國應(yīng)用安全市場增速高于全球，市場規(guī)模占全球比例達(dá)到近三分之一。2019 年，我國應(yīng)用安全市場規(guī)模達(dá)到 8.48 億美元，市場規(guī)模占全球應(yīng)用安全市場規(guī)模比例達(dá)到近三分之一，預(yù)計 2020 年市場規(guī)模將達(dá)到 9.45 億美元，年增長率達(dá)到 11.

18、5%，高于全球 6.2%的增長率。具體數(shù)據(jù)如表 2 所示。市場領(lǐng)域20192020增長率（%）應(yīng)用安全84894511.5云安全133614488.3數(shù)據(jù)安全5656169身份訪問管理173018527.1基礎(chǔ)設(shè)施保護(hù)213923188.4綜合風(fēng)險管理971069.9網(wǎng)絡(luò)安全設(shè)備75187111-5.4其他信息安全軟件3793954.2安全服務(wù)131731507814.5客戶安全軟件27784298697.5總計84894511.5數(shù)據(jù)來源：Gartner，2020 年 6 月表 2 2019-2020 中國各項安全類支出及預(yù)測（單位：百萬美元）應(yīng)用程序安全測試（AST）市場增速最為迅猛，市場

19、規(guī)模占比超過應(yīng)用安全總體市場規(guī)模的三分之一。根據(jù) Gartner 2019 年 4 月發(fā)布的報告調(diào)查數(shù)據(jù)顯示，應(yīng)用安全測試市場預(yù)計將以 10的復(fù)合年增長率增長，這仍是信息安全領(lǐng)域中快速增長的部分，到 2019 年底， AST 的市場規(guī)模估計將達(dá)到 11.5 億美元，市場規(guī)模占比超過應(yīng)用安全總體市場規(guī)模的三分之一。根據(jù)Industry Research 2019 年 8 月發(fā)布的數(shù)據(jù)顯示，按照應(yīng)用程序安全測試類型區(qū)分，靜態(tài)應(yīng)用程序安全測試（SAST）將占主導(dǎo)地位，預(yù)計將以 24.06的復(fù)合年增長率增長，交互式應(yīng)用程序安全性測試（IAST）預(yù)計將以最快的 27.58的復(fù)合年增長率增長。（二）國家及

20、區(qū)域性國際組織統(tǒng)籌規(guī)劃研發(fā)運營安全問題重點國家與區(qū)域性國際組織已發(fā)布政策規(guī)范，重視研發(fā)運營安全問題。軟件應(yīng)用服務(wù)是信息化的重要組成部分，源代碼是軟件應(yīng)用服務(wù)的最原始形態(tài)。越來越多的國家已經(jīng)意識到軟件應(yīng)用服務(wù)的源代碼安全的重要性，在強調(diào)安全運營、防御的基礎(chǔ)之上，通過發(fā)布一系列政策以及指南，從國家層面規(guī)范此方面的工作。目前美國、英國、俄羅斯、印度、澳大利亞以及歐盟等國家和區(qū)域組織都已經(jīng)推行涉及研發(fā)運營安全的戰(zhàn)略、規(guī)范或指南，其中以美國、英國、印度、歐盟最為典型。美國發(fā)布戰(zhàn)略計劃，關(guān)注研發(fā)運營安全。美國越來越依賴于網(wǎng)絡(luò)空間，但安全并未跟上網(wǎng)絡(luò)威脅的增長。關(guān)于研發(fā)安全，美國國家科技委員會（NSTC）網(wǎng)

21、絡(luò)和信息技術(shù)研發(fā)分委會在 2019 年 12 月發(fā)布聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略計劃，主要內(nèi)容涵蓋四個相互關(guān)聯(lián)的防御能力：威懾、保護(hù)、探測、響應(yīng)。在威懾能力中明確提出，設(shè)計安全的軟件是威懾手段之一；保護(hù)能力關(guān)于研發(fā)安全具體包含兩個方面的內(nèi)容，1）減少脆弱性，具體行為包括安全設(shè)計、安全開發(fā)、安全驗證、可持續(xù)安全；2）執(zhí)行安全原則，具體涵蓋使用加密機制保護(hù)數(shù)據(jù)，提高訪問控制效率，避免安全漏洞引入。此外，美國國土安全部資助軟件質(zhì)量保證（SQA）項目，提升軟件應(yīng)用安全性，軟件質(zhì)量保證（SQA）項目發(fā)展工具與技術(shù)，用于分析識別軟件中的潛在安全漏洞，具體而言，該項目強調(diào)軟件代碼開發(fā)過程中，安全性分析以及脆弱性識別

22、，從而在開發(fā)過程的早期發(fā)現(xiàn)并消除漏洞、缺陷。關(guān)于運營安全，聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略計劃中提出的探測與響應(yīng)能力和運營安全密切相關(guān)，具體內(nèi)容包括實時監(jiān)測系統(tǒng)安全，及時檢測甚至預(yù)測安全威脅，動態(tài)評估安全風(fēng)險，對于安全威脅進(jìn)行聯(lián)動、自適應(yīng)處理等內(nèi)容。英國推行源碼審查，發(fā)布研發(fā)運營安全相關(guān)戰(zhàn)略指南，提升整體軟件應(yīng)用服務(wù)安全性。英國基于自身 IT 產(chǎn)業(yè)情況，使用其他國家企業(yè)的網(wǎng)絡(luò)信息技術(shù)產(chǎn)品和服務(wù)的情況較多，供應(yīng)鏈更為復(fù)雜。針對軟件應(yīng)用代碼安全以及研發(fā)安全，英國推行網(wǎng)絡(luò)安全審查機制，采用相對市場化的評估機制，這其中就包括深層次的源代碼審查測試，檢測相關(guān)產(chǎn)品或服務(wù)是否存在安全缺陷或漏洞。同時，英國國家網(wǎng)絡(luò)安全中

23、心（NCSC）于 2018 年 11 月發(fā)布安全開發(fā)和部署指南，具體包含 8 項安全開發(fā)原則，1）安全開發(fā)關(guān)系每一個人；2）保持安全知識實時更新；3）研發(fā)干凈可維護(hù)的代碼；4）保護(hù)開發(fā)環(huán)境；5）保護(hù)代碼庫；6）保護(hù)構(gòu)建和部署管道；7）持續(xù)進(jìn)行安全性測試；8）對于安全威脅、漏洞影響提前計劃，8 項原則均與研發(fā)安全密切相關(guān)。針對運營安全，國家網(wǎng)絡(luò)安全戰(zhàn)略 2016-2021中明確提出要提升防御能力，提高政府和公共部門抵御網(wǎng)絡(luò)攻擊的彈性，定期評估關(guān)鍵系統(tǒng)的安全漏洞，業(yè)界應(yīng)與國家網(wǎng)絡(luò)安全中心（NCSC）共享網(wǎng)絡(luò)威脅最新情報，進(jìn)行主動防御等具體舉措。印度推行國家戰(zhàn)略，推動系統(tǒng)應(yīng)用研發(fā)運營安全。印度作為軟

24、件開發(fā)大國，對代碼安全方面的要求較高。針對研發(fā)安全，印度國家網(wǎng)絡(luò)協(xié)調(diào)中心（NCCC）在 2013 年曾發(fā)布國家網(wǎng)絡(luò)安全戰(zhàn)略（NCSS 2013），推動網(wǎng)絡(luò)安全研究與開發(fā)是其戰(zhàn)略之一，包括解決與可信系統(tǒng)的開發(fā)、測試、部署和維護(hù)整個生命周期相關(guān)的所有問題。2020 年，正在征求意見更新國家網(wǎng)絡(luò)安全戰(zhàn)略（NCSS 2020），安全測試左移，集成到開發(fā)周期之中，安全團隊成為應(yīng)用程序開發(fā)生命周期的一部分是主要趨勢之一。針對運營安全，在戰(zhàn)略中提出，創(chuàng)建安全威脅早期預(yù)警、漏洞管理和應(yīng)對安全威脅的機制；建立國家級的系統(tǒng)、流程、結(jié)構(gòu)和機制，對現(xiàn)有和潛在網(wǎng)絡(luò)安全威脅進(jìn)行必要情境推測。歐盟頒布實施法案，注重國際合作

25、，推進(jìn)整體的研發(fā)運營安全。歐盟在 2019 年 6 月 27 日，正式施行網(wǎng)絡(luò)安全法案，旨在有效應(yīng)對隨著數(shù)字化和連接性的增加而帶來的與網(wǎng)絡(luò)安全相關(guān)的各類風(fēng)險， 防范對計算機系統(tǒng)、通信網(wǎng)絡(luò)、數(shù)字產(chǎn)品、服務(wù)和設(shè)備等帶來的潛在威脅，進(jìn)一步完善歐盟的網(wǎng)絡(luò)安全保護(hù)框架。針對研發(fā)設(shè)計安全，明確提出，參與產(chǎn)品設(shè)計開發(fā)的組織、制造商、提供商應(yīng)在設(shè)計和開發(fā)的早期階段采取安全措施，推測安全攻擊的發(fā)生，減少安全風(fēng)險的影響，同時安全應(yīng)貫穿產(chǎn)品全生命周期，以減少規(guī)避安全風(fēng)險。針對運營安全，強調(diào)制定和更新聯(lián)盟級別的網(wǎng)絡(luò)和信息系統(tǒng)安全策略，對于安全事件聯(lián)合處理，內(nèi)部成員國共享安全信息、技術(shù)解決辦法，提升事件處置的效率。 P

26、AGE 12美國英國印度歐盟國家政策、指南聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略計劃軟件質(zhì)量保證（SQA）項目網(wǎng)絡(luò)安全審查機制安全開發(fā)和 部 署 指南國家網(wǎng)絡(luò)安全戰(zhàn)略網(wǎng)絡(luò)安全法案研發(fā)安全聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略計劃中涵蓋威懾、保護(hù)、探測、響應(yīng)四項能力，其中威懾、保護(hù)與研發(fā)安全密切相關(guān)，在威懾中明確提出，設(shè)計安全的軟件是威懾手段之一；保護(hù)具體包含兩個方面，1）減少脆弱性，具體行為包括安全設(shè)計、安全開發(fā)、安全驗證、可持續(xù)安全；2） 執(zhí)行安全原則，具體涵蓋使用加密機制保護(hù)數(shù)據(jù)，提高訪問控制效率，避免安全漏洞引入；美國國土安全部資助軟件質(zhì)量保證（SQA） 項目，提升軟件應(yīng)用安全性，軟件質(zhì)量保證（SQA）項目發(fā)展工具與技術(shù)，

27、用于分析識別軟件中的潛在安全漏推行網(wǎng)絡(luò)安全 審 查 機制， 采用相對市場化的評估機制， 其中包括深層次的源代碼 審 查 測試， 檢測相關(guān)產(chǎn)品或服務(wù)是否存在安全缺陷或漏洞英國國家網(wǎng)絡(luò)安全中心（NCSC）發(fā)布安全開發(fā)和部署指南，包含 8 項安全開發(fā)原則，1）安全開發(fā)關(guān)系每一個人； 2）保持安全知識實時更新；3）研發(fā)干凈可維護(hù)的代碼；4） 保護(hù)開發(fā)環(huán)境；5）保護(hù)代碼庫；6） 保護(hù)構(gòu)建和部署管道； 7）持續(xù)進(jìn)行安 全 性 測試；8）對于安全威脅、漏洞影響提印度國家網(wǎng)絡(luò)協(xié)調(diào)中心（NCCC）在2013 年發(fā)布國家網(wǎng)絡(luò)安全戰(zhàn)略（NCSS2013），推動網(wǎng)絡(luò)安全研究與開發(fā)是其 戰(zhàn) 略 之一， 包括解決與可信系

28、統(tǒng)的開發(fā)、測試、部署和維護(hù)整個生命周期相關(guān)的所有問題。2020 年， 正在征求意見更新國家網(wǎng)絡(luò)安全戰(zhàn)略（NCSS2020），安全測試左移， 集成到開發(fā)周期之中， 安全團隊成為應(yīng)用程序開發(fā)生命周期的一部分是主要趨勢之一。2019 年 6 月27 日施行的網(wǎng)絡(luò)安全法案中明確提出， 參與產(chǎn)品設(shè)計開 發(fā) 的 組織、制造商、提供商應(yīng)在設(shè)計和開發(fā)的早期階段采取安全措施， 推測安全攻擊的發(fā)生， 減少安全風(fēng)險的影響， 同時安全應(yīng)貫穿產(chǎn)品全生命周期， 以減少規(guī)避安全風(fēng)險。 PAGE 12云計算開源產(chǎn)業(yè)聯(lián)盟研發(fā)運營安全白皮書洞，具體而言， 該項目強調(diào)軟件代碼開發(fā)過程中，安全性分析以及脆弱性識別，從而在開發(fā)過程的早

29、期發(fā)現(xiàn)并消除漏洞、缺陷。前計劃， 與研發(fā)安全密切相關(guān)。網(wǎng)絡(luò)安全法案強調(diào)制定和更新聯(lián)盟級別的網(wǎng)絡(luò)和信息系統(tǒng)安全策略， 對于安全事件聯(lián)合處理， 內(nèi)部成員國共享安全信息、技術(shù)解決辦法， 提升事件處置的效率。運營安全聯(lián)邦網(wǎng)絡(luò)安全研發(fā)戰(zhàn)略計劃提出的四項能力中，探測和響應(yīng)與安全運營密切相關(guān)，具體內(nèi)容包括實時監(jiān)測系統(tǒng)安全，及時檢測甚至預(yù)測安全威脅， 動態(tài)評估安全風(fēng)險，對于安全威脅進(jìn)行聯(lián)動、自適應(yīng)處理。國家網(wǎng)絡(luò)安 全 戰(zhàn) 略2016-2021 中明確提出要提升防御能力， 提高政府和公共部門抵御網(wǎng)絡(luò)攻擊的彈性， 定期評估關(guān)鍵系統(tǒng)的 安 全 漏洞， 業(yè)界與國家網(wǎng)絡(luò)安全 中 心（NCSC）共享網(wǎng)絡(luò)威脅最新情報， 進(jìn)

30、行主動防御等具體舉措。國家網(wǎng)絡(luò)安全戰(zhàn)略中提出， 創(chuàng)建安全威脅早期預(yù)警、漏洞管理和應(yīng)對安全威脅的機制； 建立國家級的系統(tǒng)、流程、結(jié)構(gòu)和機制， 對現(xiàn)有和潛在網(wǎng)絡(luò)安全威脅進(jìn)行必要情境推測等具體措施。表 3 重點國家及區(qū)域性國際組織研發(fā)運營安全相關(guān)舉措（三）國際標(biāo)準(zhǔn)組織及第三方非盈利組織積極推進(jìn)研發(fā)運營安全共識ISO27304 關(guān)注建立安全軟件程序流程和框架。ISO27034 是國際標(biāo)準(zhǔn)化組織通過的第一個關(guān)注建立安全軟件程序流程和框架的標(biāo)準(zhǔn)， 提供了面向企業(yè)落地應(yīng)用安全生命周期的指導(dǎo)框架，其本質(zhì)目的是指導(dǎo)企業(yè)如何通過標(biāo)準(zhǔn)化的方式把安全融合進(jìn)入軟件生命周期。ISO27034 由七個部分組成，除了第四部分

31、外已全部發(fā)布。SAFECode 專注于應(yīng)用安全。SAFECode 成立于 2007 年 10 月，在過去 10 余年中，其發(fā)布的指南已被用于為許多重要行業(yè)和政府提供信息，以解決軟件安全問題。SAFECode 組織認(rèn)為盡管存在差異，但業(yè)界公認(rèn)的通用安全開發(fā)實踐已被證明既實用又有效；在軟件保證流程和實踐中提供更高的透明度有助于客戶和其他關(guān)鍵利益相關(guān)者有效地管理風(fēng)險。2018 年 3 月SAFECode 發(fā)布第三版安全軟件開發(fā)基本實踐，并在之后持續(xù)更新。安全軟件開發(fā)基本實踐說明保證軟件安全的具體開發(fā)和實施細(xì)則，以確保軟件按預(yù)期運營并且沒有設(shè)計缺陷和實現(xiàn)缺陷，具體內(nèi)容包括安全設(shè)計原則、威脅建模、安全編

32、碼實踐、測試和驗證、脆弱性及安全事件響應(yīng)等。OWASP（Open Web Application Security Project，即開放 Web 應(yīng)用程序安全項目）關(guān)注軟件安全，致力于改善軟件的安全性，推動全球軟件安全的革新與發(fā)展。OWASP 是一個非盈利組織，于 2004 年 4 月 21 日在美國成立。OWASP 提供有關(guān)計算機和互聯(lián)網(wǎng)應(yīng)用程序的公正、實際、有成本效益的信息，協(xié)助個人、企業(yè)和機構(gòu)來發(fā)現(xiàn)和使用可信賴軟件。其發(fā)布的 OWASP Top 10 代表了對Web 應(yīng)用程序最嚴(yán)重的 10 大安全風(fēng)險，已經(jīng)成為業(yè)界共識，是企業(yè)制定代碼安全策略的重要參考文件，也是進(jìn)行安全編碼的有效一步。

33、ISO27034SAFECodeOWASP關(guān)注對象建立安全軟件程序流程和框架應(yīng)用安全軟件安全，改善軟件的安全性具體內(nèi)容ISO27034 由七個部分組成，是國際標(biāo)準(zhǔn)化組織通過的第一個關(guān)注建立安全軟件程序流程和框架的標(biāo)準(zhǔn)，提供了面向企業(yè)落地應(yīng)用安全生命周期的指導(dǎo)框架，其本質(zhì)目的是指導(dǎo)企業(yè)如何通過標(biāo)準(zhǔn)化的方式把安全融合進(jìn)入軟件生命周期。SAFECode 發(fā)布的指南已被用于為許多重要行業(yè)和 政 府 提 供 信息，以解決軟件安全問題；其發(fā)布的安全軟件開發(fā)基本實踐說明保證軟件安全的具體開發(fā)和實施細(xì)則， 以確保軟件按預(yù)期運營并且沒有設(shè)計缺陷和實現(xiàn)缺陷，具體內(nèi)容包括安全設(shè)計原則、威脅建模、安全編碼實踐、測試和

34、驗證、脆弱性及安全事件響應(yīng)等。OWASP 提供有關(guān)計算機和互聯(lián)網(wǎng)應(yīng)用程序的公正、實際、有成本效益的信息，協(xié)助個人、企業(yè)和機構(gòu)來發(fā)現(xiàn)和使用可信賴軟件其 發(fā) 布 的OWASP Top 10 代表了對 Web 應(yīng)用程序最嚴(yán)重的10 大安全風(fēng)險， 已經(jīng)成為業(yè)界共識，是企業(yè)制定代碼安全策略的重要參考文件， 也是進(jìn)行安全編碼的有效一步。表 4 國際標(biāo)準(zhǔn)組織及第三方非盈利組織研發(fā)運營安全相關(guān)工作（四）企業(yè)積極探索研發(fā)運營安全實踐微軟持續(xù)改進(jìn)安全開發(fā)生命周期（SDL，即 Security Development Lifecycle，以下簡稱 SDL）流程措施，推行研發(fā)運營安全實踐。自2004 年以來，SDL

35、作為微軟一項強制性政策，在將安全性融入企業(yè)文化與軟件開發(fā)實踐中發(fā)揮了重大作用，在推出之后，對于其內(nèi)容也在不斷進(jìn)行更新改進(jìn)，目前具體舉措包括 1）管理制度，提供安全培訓(xùn)， 增強安全意識，確保人員了解安全基礎(chǔ)知識；2）安全要求，定義安全隱私要求與安全門限要求，包括法律和行業(yè)要求，內(nèi)部標(biāo)準(zhǔn)和編碼 PAGE 15慣例，對先前事件的審查以及已知威脅等，安全門限要求指安全質(zhì)量的最低可接受級別，明確定義安全漏洞的嚴(yán)重性閾值；3）安全隱私需求分析與設(shè)計，具體措施包括執(zhí)行威脅建模，建立設(shè)計要求，明確加密標(biāo)準(zhǔn)；4）管理使用第三方組件的安全風(fēng)險，擁有準(zhǔn)確的第三方組件清單，并了解其安全漏洞可能對集成它們的系統(tǒng)的安全性

36、產(chǎn)生影響；5）安全研發(fā)與驗證，具體舉措包括使用經(jīng)過安全性檢查，認(rèn)可的工具，執(zhí)行靜態(tài)應(yīng)用程序與動態(tài)應(yīng)用程序安全性測試，進(jìn)行滲透測試；6）發(fā)布部署階段，建立標(biāo)準(zhǔn)的事件響應(yīng)流程，7）針對運營安全， 通過人員權(quán)限認(rèn)證，數(shù)據(jù)加密存儲、傳輸，安全監(jiān)控，定期更新安全策略，抵御常見網(wǎng)絡(luò)攻擊，執(zhí)行滲透測試等手段保證上線運營階段的安全。借鑒行業(yè)領(lǐng)先實踐、技術(shù)，思科推行企業(yè)安全開發(fā)生命周期，減少產(chǎn)品安全風(fēng)險。如下圖 4 所示，具體措施涵蓋，1）明確安全要求， 包括思科內(nèi)部安全基線要求與基于行業(yè)、場景的市場安全要求；2） 第三方安全，利用工具了解潛在的第三方軟件安全威脅，不斷更新已知第三方軟件威脅和漏洞列表，對于產(chǎn)品

37、團隊進(jìn)行告警；3）安全需求分析與設(shè)計，內(nèi)部安全培訓(xùn)計劃鼓勵所有員工提高安全意識，同時鼓勵開發(fā)和測試團隊深入學(xué)習(xí)安全知識，通過持續(xù)不斷地發(fā)展威脅意識，并利用行業(yè)標(biāo)準(zhǔn)原則和高度安全的經(jīng)過審查的解決方案，努力開發(fā)出設(shè)計上更加安全的產(chǎn)品；通過威脅建模了解和確定系統(tǒng)的安全風(fēng)險并確定優(yōu)先級；4）安全編碼與驗證，建立內(nèi)部的安全編碼標(biāo)準(zhǔn)， 維護(hù)經(jīng)過審核的通用安全模塊，同時通過靜態(tài)應(yīng)用程序安全測試與漏 PAGE 16洞掃描，滲透測試等手段保證安全性；5）發(fā)布部署，建立安全發(fā)布標(biāo)準(zhǔn)，確保發(fā)布部署安全；6）上線運營，通過安全運營操作流程與持續(xù)安全監(jiān)控、更新保證產(chǎn)品上線之后的安全。圖片來源：Cisco圖 4 Cisc

38、o SDL 體系框架圖VMware 建立安全開發(fā)生命周期項目，識別和減少 VMware 軟件產(chǎn)品研發(fā)階段的安全風(fēng)險。VMware SDL 的發(fā)展受到行業(yè)最佳實踐和組織的深遠(yuǎn)影響，會定期評估 SDL 在識別風(fēng)險方面的有效性，并隨著SDL 活動的發(fā)展和成熟不斷對于流程進(jìn)行優(yōu)化改進(jìn)，增添新型技術(shù)。目前VMware SDL 中的安全活動主要囊括，1）安全培訓(xùn)，對于人員進(jìn)行基于角色和技術(shù)的安全以及隱私培訓(xùn)；2）安全規(guī)劃，對于隨后的安全審查活動制定基線要求；3）安全要求，涵蓋認(rèn)證、授權(quán)、加密、證書、網(wǎng)絡(luò)安全性等內(nèi)容；4）安全設(shè)計，通過威脅建模明確安全風(fēng)險，改進(jìn)安全設(shè)計；5）安全研發(fā)驗證，通過靜態(tài)代碼分析與

39、漏洞掃描、滲透測試等手段保證研發(fā)驗證階段的安全性；6）開源及第三方 PAGE 17組件安全管理，明確產(chǎn)品中開源及第三方組件中的安全漏洞，在發(fā)布前期進(jìn)行修復(fù)；7）安全審查，對于前期所有安全工作進(jìn)行二次審查； 8）上線運營，由安全響應(yīng)中心進(jìn)行持續(xù)的安全監(jiān)控，對于安全風(fēng)險進(jìn)行及時響應(yīng)。具體執(zhí)行流程如下圖 5 所示。圖片來源：VMware圖 5 VMware SDL 體系框架圖微軟思科VMware軟件應(yīng)用服務(wù)研發(fā)運營全生命周期安全管理安全培訓(xùn)提供安全培訓(xùn)，增強安全意識，確保人員了解安全基礎(chǔ)知識內(nèi)部安全培訓(xùn)計劃鼓勵所有員工提高安全意識，同時鼓勵開發(fā)和測試團隊深入學(xué)習(xí)安全知識對于人員進(jìn)行基于角色和技術(shù)的安

40、全以及隱私培訓(xùn)安全要求定義安全隱私要求與安全門限要求，包括法律和行業(yè)要求，內(nèi)部標(biāo)準(zhǔn)和編碼慣例，對先前事件的審查以及已知威脅等包括思科內(nèi)部安全基線要求與基于行業(yè)、場景的市場安全要求對于之后的安全審查活動制定基線要求安全要求涵蓋認(rèn)證、授權(quán)、加密、證書、網(wǎng)絡(luò)安全性等內(nèi)容安全隱私需求分析與設(shè)計執(zhí)行威脅建模，建立設(shè)計要求，明確加密標(biāo)準(zhǔn)等利用行業(yè)標(biāo)準(zhǔn)原則和高度安全的經(jīng)過審查的解決方案，努力開發(fā)出設(shè)計上更加安全的產(chǎn)品通過威脅建模了解和確定系統(tǒng)的安全風(fēng)險并確定優(yōu)先級通過威脅建模明確安全風(fēng)險，改進(jìn)安全設(shè)計第三方組件安全管理擁有準(zhǔn)確的第三方組件清單，并了解其安全漏洞可能對集成它們的系統(tǒng)的安全性產(chǎn)生影響利用工具了解

41、潛在的第三方軟件安全威脅，不斷更新已知第三方軟件威脅和漏洞列表，對于產(chǎn)品團隊進(jìn)行告警明確產(chǎn)品中開源及第三方組件中的安全漏洞，在發(fā)布前期進(jìn)行修復(fù)安全編碼與驗證使用經(jīng)過安全性檢查，認(rèn)可的工具，執(zhí)行靜態(tài)應(yīng)用程序與動態(tài)應(yīng)用程序安全性測試， 進(jìn)行滲透測試建立內(nèi)部的安全編碼標(biāo)準(zhǔn)，維護(hù)經(jīng)過審核的通用安全模塊，同時通過靜態(tài)應(yīng)用程序安全測試與漏洞掃描，滲透測試等手段保證安全性通過靜態(tài)代碼分析與漏洞掃描、滲透測試等手段保證研發(fā)驗證階段的安全性安全發(fā)布部署建立標(biāo)準(zhǔn)的事件響應(yīng)流程建立安全發(fā)布標(biāo)準(zhǔn)，確保發(fā)布部署安全對于前期所有安全工作進(jìn)行二次審查上線運營安全通過人員權(quán)限認(rèn)證，數(shù)據(jù)加密存儲、傳輸，安全監(jiān)控，定期更新安全策

42、略，抵御常見網(wǎng)絡(luò)攻擊，執(zhí)行滲透測試等手段保證上線運營階段的安全通過安全運營操作流程與持續(xù)安全監(jiān)控、更新保證產(chǎn)品上線之后的安全由安全響應(yīng)中心進(jìn)行持續(xù)的安全監(jiān)控，對于安全風(fēng)險進(jìn)行及時響應(yīng)表 5 企業(yè)研發(fā)運營安全具體實踐（五）開發(fā)模式逐步向敏捷化發(fā)展，研發(fā)運營安全體系隨之向敏捷化演進(jìn)研發(fā)運營安全相關(guān)體系的發(fā)展與開發(fā)模式的變化是密不可分的， 隨著開發(fā)模型由傳統(tǒng)的瀑布式開發(fā)演變成敏捷開發(fā)再轉(zhuǎn)變?yōu)镈evOps， 研發(fā)運營安全相關(guān)體系也隨著變化，但其核心理念始終是安全前置， 貫穿全生命周期。目前研發(fā)運營安全體系中，以微軟提出的安全開發(fā)生命周期（SDL）和 Gartner 提出的DevSecOps 體系為典型

43、代表。安全開發(fā)生命周期（SDL）的核心理念就是將安全考慮集成在軟件開發(fā)的每一個階段:需求分析、設(shè)計、編碼、測試和維護(hù)。從需求、設(shè)計到發(fā)布產(chǎn)品的每一個階段每都增加了相應(yīng)的安全活動，以減少軟件中漏洞的數(shù)量并將安全缺陷降低到最小程度。安全開發(fā)生命周期(SDL)是側(cè)重于軟件開發(fā)的安全保證過程，旨在開發(fā)出安全的軟件應(yīng)用。SDL 在傳統(tǒng)軟件開發(fā)生命周期(SDLC)的各個階段增加了一些必要的安全活動，軟件開發(fā)的不同階段所執(zhí)行的安全活動也不同，每個活動就算單獨執(zhí)行也都能對軟件安全起到一定作用。具體內(nèi)容如下圖 6所示。圖片來源：Microsoft圖 6 微軟 SDL 流程體系隨著對軟件開發(fā)質(zhì)量和效率要求的不斷提

44、高，以 DevOps 為代表的敏捷開發(fā)方法得到推崇。在此基礎(chǔ)上，Gartner 公司于 2012 年推出了 DevSecOps 的概念， DevSecOps 即 Development Security Operations 的縮寫，是一套基于 DevOps 體系的全新安全實踐戰(zhàn)略框架，旨在將安全融入敏捷過程中，即通過設(shè)計一系列可集成的控制措施，增大監(jiān)測、跟蹤和分析的力度，優(yōu)化安全實踐，集成到開發(fā)和運營的各項工作中，并將安全能力賦給各個團隊，同時保持“敏捷”和“協(xié)作”的初衷。DevOps 的目的決定了其對“自動化”和“持續(xù)性”的要求更加突出，因此在將安全控制集成其中時，也應(yīng)該盡量遵循“自動化”

45、和“透明”的原則。為了將安全無縫集成到 DevOps 中，Gartner 和一些專家從實踐出發(fā)提出了一系列建議，主要包括：風(fēng)險和威脅建模、自定義代碼掃描、開源軟件掃描和追蹤、考慮供應(yīng)鏈安全問題、整合預(yù)防性安全控制到共享源代碼庫和共享服務(wù)中、版本控制和安全測試的自動化部署、系統(tǒng)配置漏洞掃描、工作負(fù)載和服務(wù)的持續(xù)監(jiān)控等。下圖 7為DevSecOps 具體體系框架。圖片來源：Gartner圖 7 DevSecOps 體系框架圖SDLDevSecOps適用對象軟件產(chǎn)品安全開發(fā)全生命周期DevOps 體系，周期較短、迭代較快的業(yè)務(wù)安全責(zé)任特定安全團隊研發(fā)運營所有參與人員體系特點安全集成在軟件開發(fā)的每一個

46、階段，整體提升安全性DevOps 體系中融入安全，安全工具自動化以及平臺化體系重點整體安全管理制度搭配安全人員能力達(dá)到軟件產(chǎn)品研發(fā)安全DevOps 體系中嵌入自動化安全工具，實現(xiàn) DevOps 體系的安全表 6 SDL 與 DevSecOps 區(qū)別對照三、 研發(fā)運營安全關(guān)鍵要素本白皮書認(rèn)為的研發(fā)運營安全關(guān)鍵要素包含兩方面內(nèi)容，1）覆蓋軟件應(yīng)用服務(wù)全生命周期的研發(fā)運營安全體系，提供理論框架，指導(dǎo)研發(fā)運營安全的實踐推進(jìn)；2）研發(fā)運營安全技術(shù)工具的持續(xù)發(fā)展應(yīng)用，為體系的實踐提供技術(shù)支撐，加速企業(yè)組織研發(fā)運營安全的落地。（一）覆蓋軟件應(yīng)用服務(wù)全生命周期的研發(fā)運營安全體系本白皮書提出的研發(fā)運營安全體系強

47、調(diào)安全左移，結(jié)合人員管理體系、制度流程，從需求分析設(shè)計、編碼階段便引入安全，覆蓋軟件應(yīng)用服務(wù)全生命周期，整體提升安全性。提出的研發(fā)運營安全體系具有四大特點，1）覆蓋范圍更廣，延伸至下線停用階段，覆蓋軟件應(yīng)用服務(wù)全生命周期；2）更具普適性，抽取關(guān)鍵要素，不依托于任何開發(fā)模式與體系；3）不止強調(diào)安全工具，同樣注重安全管理，強化人員安全能力；4）進(jìn)行運營安全數(shù)據(jù)反饋，形成安全閉環(huán)，不斷優(yōu)化流程實踐。管理制度管理制度流程是推行研發(fā)運營安全的基礎(chǔ)。在研發(fā)運營安全體系規(guī)劃和建設(shè)的過程中，首先是建立組織責(zé)任體系，制定完善的研發(fā)運營安全管理體系和制度管理規(guī)范，明確管理制度和操作流程規(guī)范，建立統(tǒng)一的安全基線。并

48、將組織建設(shè)和人員制度管理納入到全生命管理周期中，對應(yīng)的組織負(fù)責(zé)不同的安全職責(zé)與工作，進(jìn)行安全培訓(xùn)，建設(shè)組織級的安全文化以及對研發(fā)人員、測試人員、技術(shù)運營人員等進(jìn)行安全管理，包括第三方機構(gòu)的人員，實現(xiàn)人人都為安全負(fù)責(zé)。制度和操作規(guī)范包括1）賬號和密碼管理，2）故障流程管理辦法， 3）應(yīng)急事件分級處理措施，4）人員行為安全規(guī)范，5）變更管理制度，6）團隊間安全協(xié)作流程和規(guī)范等。通過統(tǒng)一的流程管理平臺， 保證各個流程環(huán)節(jié)能夠被及時響應(yīng)，各項任務(wù)能夠被順利傳遞、銜接。安全培訓(xùn)針對所有研發(fā)、測試、運營人員以及第三方合作人員， 目前是為了提升安全意識，增強研發(fā)運營安全能力。培訓(xùn)內(nèi)容主要包括 1）安全管理制

49、度，2）安全意識培訓(xùn)，3）安全開發(fā)流程，4）安全編碼規(guī)范，5）安全設(shè)計，6）安全測試等，并對于培訓(xùn)結(jié)果進(jìn)行考核， 制定特殊崗位的上崗前考核機制，未通過相關(guān)考核的，不得從事向相關(guān)崗位的工作。安全要求安全要求明確研發(fā)運營安全的基線。安全要求通常包含安全管理和技術(shù)安全要求，二者需要有機結(jié)合，不可分割。具體內(nèi)容包括 1） 設(shè)立質(zhì)量安全門限要求，具有項目級、團隊級、組織級的質(zhì)量安全門限要求，根據(jù)業(yè)務(wù)場景、產(chǎn)品類型、語言類型劃分質(zhì)量安全門限要求， 智能化收集質(zhì)量安全門限要求，根據(jù)業(yè)務(wù)場景等進(jìn)行智能推薦；2） 項目角色以及權(quán)限管理，依據(jù)最小權(quán)限原則，建立資源、行為操作權(quán)限管控，采用多因素認(rèn)證機制保證訪問安全

50、，配置強密碼策略，及時為不需要權(quán)限的用戶或用戶組移除權(quán)限；3）安全審計，對于包括研發(fā)、測試、運營的所有相關(guān)人員的所有操作行為進(jìn)行審計，對于審計記錄進(jìn)行保護(hù)，有效期內(nèi)避免非授權(quán)的訪問、篡改、覆蓋及刪除，對于審計記錄形成報表，方便查詢、統(tǒng)計與分析，針對審計日志進(jìn)行自動化與人工審計，對于安全事件進(jìn)行詳細(xì)記錄，對于高危操作進(jìn)行重點審計，進(jìn)行告警通知，針對行業(yè)特點，業(yè)務(wù)特點進(jìn)行定制化的安全審計策略，對于審計記錄進(jìn)行統(tǒng)計分析、關(guān)聯(lián)分析等；4）環(huán)境管理， 研發(fā)、測試、生產(chǎn)環(huán)境隔離，生產(chǎn)環(huán)境具有安全基線要求，保障環(huán)境的安全，針對研發(fā)、測試環(huán)境有明確的權(quán)限管控機制，針對各類環(huán)境的操作進(jìn)行詳細(xì)記錄，具有可追溯性，

51、定期執(zhí)行生產(chǎn)環(huán)境的安全基線掃描，及時發(fā)現(xiàn)和處理安全風(fēng)險，研發(fā)、生產(chǎn)環(huán)境具有良好的抗攻擊與災(zāi)備容錯能力，根據(jù)特定行業(yè)以及業(yè)務(wù)場景，對于測試環(huán)境接入安全掃描，針對不同的業(yè)務(wù)場景以及架構(gòu)，對于發(fā)布環(huán)境進(jìn)行分類管理， 安全加固，生產(chǎn)環(huán)境具安全風(fēng)險自動發(fā)現(xiàn)、分析和修復(fù)以及秒級容災(zāi)容錯切換能力；5）變更管理，有明確的進(jìn)行變更條件與變更執(zhí)行機制，有明確的變更授權(quán)機制，對于變更請求進(jìn)行統(tǒng)一分析、整理，確定變更方案；6）開源及第三方組件管理，具有組織級的第三方組件庫，明確優(yōu)選、可用、禁用的第三方組件列表，統(tǒng)一組件來源，具有明確的第三方組件入庫審批機制，第三方組件的引入應(yīng)遵循最小化引入原則，減少安全風(fēng)險，開源及第

52、三方組件與自研代碼獨立存放、目錄隔離，開源及第三方組件來源可追溯，開源組件追溯源社區(qū)，第三方組件信息追溯到供應(yīng)商，對開源軟件的生命周期進(jìn)行管理，記錄開源軟件的生命周期信息，通過自動化工具及時向使用產(chǎn)品進(jìn)行通知預(yù)警；7）安全研發(fā)測試要求，具有組織級、團隊級、項目級的安全編碼規(guī)范、安全測試規(guī)范。安全隱私需求分析與設(shè)計安全前置到需求分析與設(shè)計階段。安全隱私需求分析與設(shè)計是服務(wù)應(yīng)用研發(fā)運營整個生命周期的源頭。具體內(nèi)容包括：1）安全隱私需求分析，應(yīng)包括安全合規(guī)需求以及安全功能需求，針對安全合規(guī)需求，應(yīng)分析涉及的法律法規(guī)、行業(yè)監(jiān)管等要求，制定合規(guī)和安全需求基線，針對安全功能需求應(yīng)根據(jù)業(yè)務(wù)場景、技術(shù)，具備相

53、應(yīng)的測試用例，安全隱私需求來自法律法規(guī)、行業(yè)監(jiān)管要求、公司安全策略、業(yè)界最佳實踐以及客戶安全需求，具有明確的安全需求管理流程，能夠?qū)Π踩枨蟮姆治觥⒃u審、決策等環(huán)節(jié)進(jìn)行有效管理，需求分解分配可追溯；2）安全設(shè)計原則，3）確定質(zhì)量安全門限要求，4）受攻擊面分析，分析應(yīng)從系統(tǒng)各個模塊的重要程度、系統(tǒng)各個模塊接口分析、攻擊者視角分析攻擊手段、方式、攻擊路徑、權(quán)限設(shè)置是否合理、攻擊難度等維度進(jìn)行分析；5）威脅建模，具體行為包括確定安全目標(biāo)、分解應(yīng)用程序、確定威脅列表；6）安全隱私需求設(shè)計知識庫，具有組織級安全需求知識分享平臺，形成知識的復(fù)用，根據(jù)安全需求，得出安全設(shè)計解決方案。研發(fā)與驗證研發(fā)驗證是安全

54、前置實踐的關(guān)鍵所在，研發(fā)階段安全是整體安全左移實現(xiàn)關(guān)鍵，關(guān)注代碼程序安全，驗證階段進(jìn)行安全二次確認(rèn)，避免風(fēng)險引入。為了確保上線服務(wù)應(yīng)用沒有安全風(fēng)險，需要在研發(fā)及測試過程中要進(jìn)行全面的代碼安全識別，具體內(nèi)容包括：1）安全編碼， 維護(hù)獲得安全認(rèn)可的工具、框架列表，使用獲得認(rèn)可的工具、框架，具有統(tǒng)一的版本控制系統(tǒng)，將全部源代碼納入版本控制系統(tǒng)管理，版本控制系統(tǒng)具有明確的權(quán)限管控機制，代碼倉庫具有實時代碼安全掃 描機制，發(fā)現(xiàn)安全問題并提示修復(fù)，根據(jù)安全編碼規(guī)范制定自定義安 全策略，進(jìn)行自動化安全掃描，采用集成于 IDE 或其他形式提供的自動化測試工具定時進(jìn)行代碼安全檢測，針對版本控制系統(tǒng)有監(jiān)控機制，

55、包括人員、時間、行為操作等，方便審計回溯，制定代碼合入門禁機 制，確保代碼合入質(zhì)量，代碼倉庫支持線上代碼動態(tài)掃描，發(fā)現(xiàn)安全 問題并提示修復(fù)；2）管理開源及第三方組件安全風(fēng)險，對于第三方 組件根據(jù)風(fēng)險級別，有明確的優(yōu)選、可用、禁用機制，代碼提交前采 用掃描工具進(jìn)行第三方組件安全檢查，管理項目中的第三方組件許可 證以及安全漏洞等風(fēng)險，針對第三方組件安全風(fēng)險，推薦安全解決方 案；3）變更管理，對于變更操作進(jìn)行統(tǒng)一管理，明確記錄變更信息， 包括但不限于變更人員、變更時間、變更內(nèi)容，針對重點變更內(nèi)容進(jìn) 行評審，變更操作具有明確的審批授權(quán)機制，重大變更操作具有分級 評審機制，具有統(tǒng)一的變更管理系統(tǒng)，變更操

56、作覆蓋需求設(shè)計到發(fā)布 部署全流程；4）代碼安全審查，制定明確的源代碼安全檢視方法， 開展源代碼安全審計活動，采用工具與人工核驗相結(jié)合的方式進(jìn)行代 碼安全審計，對于威脅代碼及時通知研發(fā)人員進(jìn)行修復(fù)，對高風(fēng)險源 代碼有分級審核機制，對于審計發(fā)現(xiàn)的威脅代碼自動通知研發(fā)人員， 進(jìn)行修復(fù)，根據(jù)行業(yè)特點、業(yè)務(wù)場景定制化開發(fā)代碼安全審查工具， 制定安全審查策略；5）開源及第三方組件確認(rèn)，采用工具與人工核 驗的方式確認(rèn)第三方組件的安全性、一致性，根據(jù)許可證信息、安全 漏洞等綜合考慮法律、安全風(fēng)險；6）配置審計，具有明確的配置審計機制，配置審計包括但不限于配置項是否完備、配置項與前期安全需求的一致性、配置項版本

57、的描述精確，與相關(guān)版本一致制，配置項的每次變更有記錄，可以追溯到具體修改時間和修改人，產(chǎn)品依賴的自研模塊、平臺組件、開源源碼、開源二進(jìn)制、第三方軟件被準(zhǔn)確的定義和記錄，對于明確統(tǒng)一的合規(guī)需求以及安全需求，進(jìn)行自動化配置審計；7）安全隱私測試，具有明確的安全隱私測試要求，作為發(fā)布部署的前置條件，測試數(shù)據(jù)不包含未經(jīng)清洗的敏感數(shù)據(jù)，基于安全隱私需求，有相應(yīng)的安全隱私測試用例，并進(jìn)行驗證測試，單個測試用例的執(zhí)行不受其他測試用例結(jié)果的影響，測試數(shù)據(jù)、用例應(yīng)統(tǒng)一管理，有明確的權(quán)限管控機制，測試用例、測試數(shù)據(jù)應(yīng)定期更新，滿足不同階段、環(huán)境的測試要求，具備自動化安全測試能力，對于測試結(jié)果有集中匯總與展示的能力

58、，持續(xù)優(yōu)化安全測試策略，持續(xù)降低誤報率與漏報率，測試過程有記錄可查詢，測試設(shè)計、執(zhí)行端到端可追溯， 基于不同業(yè)務(wù)場景以及系統(tǒng)架構(gòu)，進(jìn)行安全測試智能化推薦與測試策略智能優(yōu)化；8）漏洞掃描，采用主流的安全工具進(jìn)行漏洞掃描，漏洞掃描結(jié)果有統(tǒng)一管理與展示平臺，漏洞掃描的結(jié)果及時反饋研發(fā)人員，進(jìn)行漏洞修復(fù)，具有自身以及第三方漏洞庫，對于漏洞庫定期更新，基于漏洞信息進(jìn)行關(guān)聯(lián)與聚合分析；9）模糊測試，采用主流的模糊測試工具，自動化進(jìn)行模糊測試，模糊測試的結(jié)果及時反饋研發(fā)人員，進(jìn)行修復(fù)，持續(xù)改進(jìn)模糊測試策略；10）滲透測試，引入人工滲透測試機制，針對系統(tǒng)架構(gòu)、應(yīng)用程序、網(wǎng)絡(luò)層面漏洞進(jìn)行滲透測試，根據(jù)行業(yè)特點與

59、業(yè)務(wù)場景實施滲透測試，范圍應(yīng)覆蓋重要安全風(fēng)險點與重要業(yè)務(wù)系統(tǒng)，有明確的滲透測試計劃與管理機制。發(fā)布部署安全發(fā)布部署是服務(wù)應(yīng)用上線前的最后一道安全保障，發(fā)布階段確保服務(wù)安全上線運營，具體內(nèi)容包括：1）發(fā)布管理，有相應(yīng)的發(fā)布安全流程與規(guī)范，發(fā)布操作具有明確的權(quán)限管控機制，發(fā)布應(yīng)具有明確的安全檢查節(jié)點，根據(jù)安全節(jié)點檢查結(jié)果，有相關(guān)告警機制，針對發(fā)布流程具有安全回退、備份機制，制定發(fā)布策略，通過低風(fēng)險的發(fā)布策略進(jìn)行發(fā)布，如灰度發(fā)布或者藍(lán)綠發(fā)布等方式，發(fā)布流程實現(xiàn)自動化，一鍵發(fā)布，根據(jù)安全節(jié)點檢查結(jié)果，發(fā)現(xiàn)高危安全問題，自動阻斷發(fā)布流程，對于發(fā)布流程具有監(jiān)控機制，出現(xiàn)問題自動化回滾， 建立稽核機制，發(fā)布

60、前需要通過稽核部門的獨立檢查；2）安全性檢查，進(jìn)行病毒掃描以及數(shù)字簽名驗證等完整性校驗，校驗結(jié)果作為發(fā)布的前置條件；3）事件響應(yīng)計劃，具有預(yù)先的事件響應(yīng)計劃，包括但不限于安全事件應(yīng)急響應(yīng)流程，安全負(fù)責(zé)人與聯(lián)系方式。上線運營運營階段安全保障服務(wù)系統(tǒng)的穩(wěn)定運行。為確保服務(wù)應(yīng)用上線運營安全，具體措施內(nèi)容包括：1）安全監(jiān)控，具有運營階段安全監(jiān)控機制，覆蓋全部業(yè)務(wù)場景，抵御常見威脅攻擊的能力，如 DDoS 攻擊， 暴力破解，病毒攻擊，注入攻擊，網(wǎng)頁篡改，具有統(tǒng)一的安全監(jiān)控平臺，對于威脅攻擊處理能夠統(tǒng)一監(jiān)控并可視化展示，對于監(jiān)控安全事件進(jìn)行分級展示，具有智能化安全監(jiān)控平臺，對于監(jiān)控事件統(tǒng)一關(guān)聯(lián)分析，智能識