1、 研发运营安全白皮书研发运营安全白皮书 （2020年）年） 云计算开源产业联盟云计算开源产业联盟 OpenSource Cloud Alliance for industry，OSCAR 2020年年7月月 版权声明版权声明 本白皮书版权属于云计算开源产业联盟，并受法律保护。本白皮书版权属于云计算开源产业联盟，并受法律保护。 转载、摘编或利用其它方式使用本调查报告文字或者观点的，转载、摘编或利用其它方式使用本调查报告文字或者观点的， 应注明应注明“来源：云计算开源产业联盟来源：云计算开源产业联盟”。违反上述声明者，本联。违反上述声明者，本联 盟将追究其相关法律责任。盟将追究其相关法律责任。 q

2、RqPpPrOsNoMwOrOrNsNsR7NaO6MmOnNsQqQfQmMtMeRpMqR8OmMxPxNpMoRvPpMtR 前前 言言 近年来，安全事件频发，究其原因，软件应用服务自身存在代码 安全漏洞，被黑客利用攻击是导致安全事件发生的关键因素之一。随 着信息化的发展， 软件应用服务正在潜移默化的改变着生活的各个方 面，渗透到各个行业和领域，其自身安全问题也愈发成为业界关注的 焦点。传统研发运营模式之中，安全介入通常是在应用系统构建完成 或功能模块搭建完成之后，位置相对滞后，无法完全覆盖研发阶段的 安全问题。在此背景下，搭建整体的研发运营安全体系，强调安全左 移， 覆盖软件应用服务全

3、生命周期安全， 构建可信理念是至关重要的。 本白皮书首先对于研发运营安全进行了概述， 梳理了全球研发运 营安全现状， 随后对于信通院牵头搭建的研发运营安全体系进行了说 明，归纳了研发运营安全所涉及的关键技术。最后，结合当前现状总 结了研发运营安全未来的发展趋势， 并分享了企业组织研发运营安全 优秀实践案例以供参考。 参与编写单位参与编写单位 中国信息通信研究院、华为技术有限公司、深圳市腾讯计算机系 统有限公司、阿里云计算有限公司、浪潮云信息技术股份公司、京东 云计算（北京）有限公司、北京金山云网络技术有限公司、深圳华大 生命科学研究院、奇安信科技集团股份有限公司、杭州默安科技有限 公司、新思科

4、技（上海）有限公司 主要撰稿人主要撰稿人 吴江伟、栗蔚、郭雪、耿涛、康雪婷、徐毅、章可镌、沈栋、 郭铁涛、张祖优、马松松、黄超、伍振亮、祁景昭、朱勇、贺进、 宋文娣、张娜、蔡国瑜、张鹏程、张玉良、董国伟、周继玲、杨国 梁、肖率武、薛植元 目目 录录 一、研发运营安全概述一、研发运营安全概述 . 1 （一）研发层面安全影响深远，安全左移势在必行（一）研发层面安全影响深远，安全左移势在必行 . 1 （二）覆盖软件应用服务全生命周期的研发运营安全体系（二）覆盖软件应用服务全生命周期的研发运营安全体系 . 4 二、研发运营安全发展现状二、研发运营安全发展现状 . 5 （一）（一）全球研全球研发运营安全

5、市场持续扩大发运营安全市场持续扩大 . 5 （二）国家及区域性国际组织统筹规划研发运营安全问题（二）国家及区域性国际组织统筹规划研发运营安全问题 . 7 （三）国际标准组织及第三方非盈利组织积极推进研发运营安全共识（三）国际标准组织及第三方非盈利组织积极推进研发运营安全共识 . 12 （四）企业积极探索研发运营安全实践（四）企业积极探索研发运营安全实践 . 14 （五）开发模式逐步向敏捷化发展，研发运营安全体系随之向敏捷化演进（五）开发模式逐步向敏捷化发展，研发运营安全体系随之向敏捷化演进 . 19 三、研发运营安全关键要素三、研发运营安全关键要素 . 21 （一）覆盖软件应用服务全生命周期的

6、研发运营安全体系（一）覆盖软件应用服务全生命周期的研发运营安全体系 . 22 （二）研发运营安全解决方案同步发展（二）研发运营安全解决方案同步发展 . 31 四、研发运营安全发展趋势展望四、研发运营安全发展趋势展望 . 41 附录：研发运营安全优秀实践案例附录：研发运营安全优秀实践案例 . 43 （一）华为云可信研发运营案例（一）华为云可信研发运营案例 . 43 （二）腾讯研发运营安全实践（二）腾讯研发运营安全实践 . 50 （三）国家基因库生命大数据平台研发运（三）国家基因库生命大数据平台研发运营安全案例营安全案例 . 58 图图 目目 录录 图 1 Forrester 外部攻击对象统计数据

7、 . 2 图 2 研发运营各阶段代码漏洞修复成本 . 3 图 3 研发运营安全体系 . 4 图 4 Cisco SDL 体系框架图 . 16 图 5 VMware SDL 体系框架图 . 17 图 6 微软 SDL 流程体系 . 20 图 7 DevSecOps 体系框架图 . 21 图 8 研发运营安全解决方案阶段对应图 . 32 表表 目目 录录 表 1 2019-2020 全球各项安全类支出及预测 . 6 表 2 2019-2020 中国各项安全类支出及预测 . 7 表 3 重点国家及区域性国际组织研发运营安全相关举措 . 12 表 4 国际标准组织及第三方非营利组织研发运营安全相关工作

8、 . 14 表 5 企业研发运营安全具体实践 . 19 表 6 SDL 与 DevSecOps 区别对照 . 21 云计算开源产业联盟 研发运营安全白皮书 1 一、一、 研发运营安全研发运营安全概述概述 （一）（一）研发层面安全影响深远，安全左移势在必行研发层面安全影响深远，安全左移势在必行 随着信息化的发展， 软件应用服务正在潜移默化的改变着生活的 各个方面，渗透到各个行业和领域，软件应用服务的自身安全问题也 愈发成为业界关注的焦点。 全球安全事件频发，代码程序漏洞是关键诱因之一。 2017 年，美 国最大的征信机构之一 Equifax 因未能及时修补已知的安全漏洞发 生一起涉及 1.48

9、亿用户的数据安全、隐私泄露事件，影响几乎一半 的美国人口；国内电商因优惠券漏洞被恶意牟利，酒店、求职等网站 也曾发生数据安全事件， 泄露百万级、 亿级用户隐私数据。 究其原因， 软件应用服务自身安全漏洞被黑客利用攻击是数据安全事件层出不 穷关键因素之一。根据 Verizon 2019 年的研究报告Data Breach Investigations Report，在总计核实的 2013 次数据泄露安全事件 中，超过 30%与 Web 应用程序相关，Web 应用程序威胁漏洞具体指程 序中的代码安全漏洞以及权限设置机制等。Forrester 2019 年发布 的 调 查 报 告 Forrester

10、 Analytics Global Business Technographics Security Survey，2019中显示，在 283 家全球企 业已经确认的外部攻击中， 针对软件漏洞以及 Web 应用程序是位于前 两位的，分别占比达到了 40%与 37%， 具体数据见图 1，其中软件漏洞 主要指对于安全漏洞的利用攻击， 攻击 Web 应用程序主要指基于程序 的 SQL 注入、跨站脚本攻击等。 云计算开源产业联盟 研发运营安全白皮书 2 数据来源：Forrester 图 1 Forrester 外部攻击对象统计数据 根据咨询公司 Gartner 统计数据显示，超过 75%的安全攻击发生

11、在代 码应用层面。 已知安全漏洞中， 应用程序安全漏洞与 Web 应用程序安全漏洞占 多数。美国国家标准技术研究院（NIST）的统计数据显示 92%的漏洞 属于应用层而非网络层。 国家计算机网络应急技术处理协调中心2020 年 4 月的发布的数据显示， 2019 年， 国家信息安全漏洞共享平台 （CNVD） 收录的安全漏洞数量创下历史新高， 数量同比增长 14.0%， 达到 16193 个，其中应用程序漏洞占比 56.2%，Web 应用程序占比 23.3%， 二者相 加占比超过 76%，充分说明安全漏洞大多存在于软件应用服务本身。 传统研发运营安全模式中，安全介入相对滞后。传统研发运营安 全，

12、针对服务应用自身的安全漏洞检测修复，通常是在系统搭建或者 功能模块构建完成之后以及服务应用上线运营之后，安全介入，进行 安全扫描，威胁漏洞修复。如当前的大多数安全手段，防病毒、防火 40% 37% 28% 25% 25% 25% 25% 20% 19% 14% 6% 1% 0%5%10%15%20%25%30%35%40%45% 软件漏洞（漏洞利用） Web应用程序（SQL注入、跨站脚本 使用被盗凭证（加密秘钥） DDoS 水坑攻击 移动恶意软件 利用丢失/被盗资产 DNS 钓鱼 勒索软件 社会工程学 其他 云计算开源产业联盟 研发运营安全白皮书 3 墙、入侵检测等，都是关注软件交付运行之后的

13、安全问题，属于被动 防御性手段。这种模式便于软件应用服务的快速研发部署，但安全介 入相对滞后，并无法覆盖研发阶段代码层面的安全，安全测试范围相 对有限，安全漏洞修复成本也更大。 安全左移有助于帮助企业削减成本。 代码是软件应用服务开发的 最初形态，其缺陷或漏洞是导致安全问题的直接根源，尽早发现源码 缺陷能够大大降低安全问题的修复成本。 根据美国国家标准与技术研 究所（NIST）统计，在发布后执行代码修复，其修复成本相当于在设 计阶段执行修复的 30 倍。具体数据如图 2 所示。 数据来源：美国国家标准与技术研究所（NIST） 图 2 研发运营各阶段代码漏洞修复成本 在此背景下，搭建新型的研发运

14、营安全体系，进行安全左移，覆 盖软件应用服务的全生命周期，是至关重要，也是势在必行的。建立 新型的研发运营安全体系有助于构建可信理念，创造可信生态，是实 现软件应用服务全生命周期安全的重要一步。 云计算开源产业联盟 研发运营安全白皮书 4 （二）（二）覆盖覆盖软件应用服务软件应用服务全生命周期的研发运营安全全生命周期的研发运营安全 体系体系 新型研发运营安全体系强调安全左移， 覆盖软件应用服务全生命 周期。 本白皮书认为的研发运营安全指结合人员管理体系、 制度流程， 在软件应用服务设计早期便引入安全， 进行安全左移， 覆盖要求阶段、 安全需求分析阶段、设计阶段、研发阶段、验证阶段、发布阶段、运

15、 营阶段、停用下线阶段的全生命周期，搭建安全体系，降低安全问题 解决成本，全方面提升服务应用安全，提升人员安全能力。具体架构 体系如下图 3 所示。 图片来源：中国信息通信研究院 图 3 研发运营安全体系 体系框架具体内容包括：1）管理制度，建立合适的人员组织架 构与制度流程，保证研发运营流程安全的具体实施，针对人员进行安 全培训，增强安全意识，进行相应考核管理；2）明确安全要求，前期 明确安全要求，如设立质量安全门限要求，进行安全审计，对于第三 云计算开源产业联盟 研发运营安全白皮书 5 方组件进行安全管理等； 3） 安全需求分析与设计， 在研发阶段之前， 进行安全方面的需求分析与设计， 从

16、合规要求以及安全功能需求方面 考虑，进行威胁建模，确定安全需求与设计；4）安全研发测试，搭配 安全工具确保编码实际安全， 同时对于开源及第三方组件进行风险管 理，在测试过程中，针对安全、隐私问题进行全面、深度的测试；5） 安全发布，服务上线发布前进行安全性审查，制定事先响应计划，确 保发布安全；6）运营安全，上线运营阶段，进行安全监控与安全运 营， 通过渗透测试等手段进行风险评估， 针对突发事件进行应急响应， 并及时复盘，形成处理知识库，汇总研发运营阶段的安全问题，形成 反馈机制，优化研发运营全流程；7）停用下线，制定服务下线方案 与计划，明确隐私保护合规方案，确保数据留存符合最小化原则，满

17、足国家相关规范要求。 二、二、 研发运营安全发展现状研发运营安全发展现状 （一）（一）全球研发全球研发运营安全市场持续扩大运营安全市场持续扩大 全球信息安全市场保持稳定增长， 应用安全市场增速高于整体安 全市场。本白皮书提出的研发运营安全强调安全左移，通过自动化安 全测试工具， 关注软件应用服务代码层面安全， 与应用安全紧密关联。 根据 Gartner 2020 年 6 月发布的统计数据显示， 全球 2019 年各项安 全类支出总计1209.34 亿美元， 预计2020 年将达到1238.18亿美元， 其中应用安全市场规模 2019 年为 30.95 亿美元， 预计 2020 年将达到 云计算

18、开源产业联盟 研发运营安全白皮书 6 32.87 亿美元，年增长率达到 6.2%，明显高于整体信息安全市场的 2.4%年增长率，具体数据如表 1 所示。 市场领域市场领域 20192019 20202020 增长率（增长率（% %） 应用安全 3095 3287 6.2 云安全 439 585 33.3 数据安全 2662 2852 7.2 身份访问管理 9837 10409 5.8 基础设施保护 16520 17483 5.8 综合风险管理 4555 4731 3.8 网络安全设备 13387 11694 -12.6 其他信息安全软件 2206 2273 3.1 安全服务 61979 642

19、70 3.7 客户安全软件 6254 6235 -0.3 总计总计 4 8 2.42.4 数据来源：Gartner，2020 年 6 月 表 1 2019-2020 全球各项安全类支出及预测（单位：百万美元） 我国应用安全市场增速高于全球，市场规模占全球比例达到近三 分之一。2019 年，我国应用安全市场规模达到 8.48 亿美元，市场规 模占全球应用安全市场规模比例达到近三分之一，预计 2020 年市场 规模将达到 9.45 亿美元，年增长率达到 11.5%，高于全球 6.2%的增 长率。具体数据如表 2 所示。 云计算开源产业联盟 研发运营安全白

20、皮书 7 市场领域市场领域 20192019 20202020 增长率（增长率（% %） 应用安全 848 945 11.5 云安全 1336 1448 8.3 数据安全 565 616 9 身份访问管理 1730 1852 7.1 基础设施保护 2139 2318 8.4 综合风险管理 97 106 9.9 网络安全设备 7518 7111 -5.4 其他信息安全软件 379 395 4.2 安全服务 13173 15078 14.5 客户安全软件 27784 29869 7.5 总计总计 848848 945945 11.511.5 数据来源：Gartner，2020 年 6 月 表 2

21、2019-2020 中国各项安全类支出及预测（单位：百万美元） 应用程序安全测试（AST）市场增速最为迅猛，市场规模占比超 过应用安全总体市场规模的三分之一。根据 Gartner 2019 年 4 月发 布的报告调查数据显示，应用安全测试市场预计将以 10的复合年 增长率增长， 这仍是信息安全领域中快速增长的部分， 到 2019 年底， AST 的市场规模估计将达到 11.5 亿美元，市场规模占比超过应用安 全总体市场规模的三分之一。根据 Industry Research 2019 年 8 月 发布的数据显示，按照应用程序安全测试类型区分，静态应用程序安 全测试（SAST）将占主导地位，预计

22、将以 24.06的复合年增长率增 长，交互式应用程序安全性测试（IAST）预计将以最快的 27.58的 复合年增长率增长。 （二二）国家国家及及区域区域性国际性国际组织组织统筹规划统筹规划研发运营安全研发运营安全 问题问题 重点国家与区域性国际组织已发布政策规范， 重视研发运营安全 问题。软件应用服务是信息化的重要组成部分，源代码是软件应用服 云计算开源产业联盟 研发运营安全白皮书 8 务的最原始形态。 越来越多的国家已经意识到软件应用服务的源代码 安全的重要性，在强调安全运营、防御的基础之上，通过发布一系列 政策以及指南，从国家层面规范此方面的工作。目前美国、英国、俄 罗斯、印度、澳大利亚以

23、及欧盟等国家和区域组织都已经推行涉及研 发运营安全的战略、规范或指南，其中以美国、英国、印度、欧盟最 为典型。 美国发布战略计划，关注研发运营安全。美国越来越依赖于网络 空间，但安全并未跟上网络威胁的增长。关于研发安全，美国国家科 技委员会（NSTC）网络和信息技术研发分委会在 2019 年 12 月发布 联邦网络安全研发战略计划，主要内容涵盖四个相互关联的防御 能力：威慑、保护、探测、响应。在威慑能力中明确提出，设计安全 的软件是威慑手段之一； 保护能力关于研发安全具体包含两个方面的 内容，1）减少脆弱性，具体行为包括安全设计、安全开发、安全验 证、可持续安全；2）执行安全原则，具体涵盖使用

24、加密机制保护数 据，提高访问控制效率，避免安全漏洞引入。此外，美国国土安全部 资助软件质量保证（SQA）项目，提升软件应用安全性，软件质量保 证（SQA）项目发展工具与技术，用于分析识别软件中的潜在安全漏 洞，具体而言，该项目强调软件代码开发过程中，安全性分析以及脆 弱性识别，从而在开发过程的早期发现并消除漏洞、缺陷。关于运营 安全， 联邦网络安全研发战略计划中提出的探测与响应能力和运 营安全密切相关，具体内容包括实时监测系统安全，及时检测甚至预 云计算开源产业联盟 研发运营安全白皮书 9 测安全威胁，动态评估安全风险，对于安全威胁进行联动、自适应处 理等内容。 英国推行源码审查，发布研发运营

25、安全相关战略指南，提升整体 软件应用服务安全性。英国基于自身 IT 产业情况，使用其他国家企 业的网络信息技术产品和服务的情况较多，供应链更为复杂。针对软 件应用代码安全以及研发安全，英国推行网络安全审查机制，采用相 对市场化的评估机制，这其中就包括深层次的源代码审查测试，检测 相关产品或服务是否存在安全缺陷或漏洞。同时，英国国家网络安全 中心（NCSC）于 2018 年 11 月发布安全开发和部署指南，具体包 含 8 项安全开发原则，1）安全开发关系每一个人；2）保持安全知识 实时更新；3）研发干净可维护的代码；4）保护开发环境；5）保护代 码库；6）保护构建和部署管道；7）持续进行安全性测

26、试；8）对于安 全威胁、漏洞影响提前计划，8 项原则均与研发安全密切相关。针对 运营安全，国家网络安全战略 2016-2021中明确提出要提升防御 能力，提高政府和公共部门抵御网络攻击的弹性，定期评估关键系统 的安全漏洞，业界应与国家网络安全中心（NCSC）共享网络威胁最新 情报，进行主动防御等具体举措。 印度推行国家战略，推动系统应用研发运营安全。印度作为软件 开发大国，对代码安全方面的要求较高。针对研发安全，印度国家网 络协调中心（NCCC）在 2013 年曾发布国家网络安全战略（NCSS 2013），推动网络安全研究与开发是其战略之一，包括解决与可信系 统的开发、 测试、 部署和维护整个

27、生命周期相关的所有问题。 2020年， 云计算开源产业联盟 研发运营安全白皮书 10 正在征求意见更新国家网络安全战略（NCSS 2020），安全测试 左移，集成到开发周期之中，安全团队成为应用程序开发生命周期的 一部分是主要趋势之一。针对运营安全，在战略中提出，创建安全威 胁早期预警、漏洞管理和应对安全威胁的机制；建立国家级的系统、 流程、结构和机制，对现有和潜在网络安全威胁进行必要情境推测。 欧盟颁布实施法案，注重国际合作，推进整体的研发运营安全。 欧盟在 2019 年 6 月 27 日，正式施行网络安全法案，旨在有效应 对随着数字化和连接性的增加而带来的与网络安全相关的各类风险， 防范对

28、计算机系统、通信网络、数字产品、服务和设备等带来的潜在 威胁，进一步完善欧盟的网络安全保护框架。针对研发设计安全，明 确提出，参与产品设计开发的组织、制造商、提供商应在设计和开发 的早期阶段采取安全措施，推测安全攻击的发生，减少安全风险的影 响，同时安全应贯穿产品全生命周期，以减少规避安全风险。针对运 营安全，强调制定和更新联盟级别的网络和信息系统安全策略，对于 安全事件联合处理，内部成员国共享安全信息、技术解决办法，提升 事件处置的效率。 云计算开源产业联盟 研发运营安全白皮书 11 美国美国 英国英国 印度印度 欧盟欧盟 国家政策、国家政策、 指南指南 联邦网络安 全研发战略计 划 软件质

29、量保证 （SQA）项目 网络安全审 查机制 安全开发 和 部 署 指 南 国家网络 安全战略 网络安全 法案 研发研发安全安全 联邦网络安 全研发战略计 划中涵盖威 慑、保护、探 测、响应四项 能力，其中威 慑、保护与研 发安全密切相 关，在威慑中 明确提出，设 计安全的软件 是威慑手段之 一；保护具体 包 含 两 个 方 面，1）减少脆 弱性，具体行 为包括安全设 计、 安全开发、 安全验证、可 持续安全；2） 执 行 安 全 原 则，具体涵盖 使用加密机制 保护数据，提 高访问控制效 率，避免安全 漏洞引入； 美国国土安全 部资助软件质 量保证 （SQA） 项目，提升软 件 应 用 安 全

30、 性，软件质量 保证 （SQA） 项 目发展工具与 技术，用于分 析识别软件中 的潜在安全漏 推行网络安 全 审 查 机 制，采用相 对市场化的 评估机制， 其中包括深 层次的源代 码 审 查 测 试，检测相 关产品或服 务是否存在 安全缺陷或 漏洞 英国国家网 络安全中心 （NCSC）发 布安全开 发和部署指 南，包含 8 项安全开发 原则，1）安 全开发关系 每一个人； 2）保持安全 知识实时更 新；3）研发 干净可维护 的代码；4） 保护开发环 境；5）保护 代码库；6） 保护构建和 部署管道； 7）持续进行 安 全 性 测 试；8）对于 安全威胁、 漏洞影响提 印度国家网 络协调中心

31、（NCCC） 在 2013 年发布 国家网络 安全战略 （NCSS 2013） ， 推动 网络安全研 究与开发是 其 战 略 之 一，包括解 决与可信系 统的开发、 测试、部署 和维护整个 生命周期相 关的所有问 题。 2020 年， 正在征求意 见更新国 家网络安全 战略 （NCSS 2020） ， 安全 测试左移， 集成到开发 周期之中， 安全团队成 为应用程序 开发生命周 期的一部分 是主要趋势 之一。 2019 年 6 月 27 日施行的 网络安全 法案中明 确提出，参 与产品设计 开 发 的 组 织、制造商、 提供商应在 设计和开发 的早期阶段 采取安全措 施，推测安 全攻击的发 生

32、，减少安 全风险的影 响，同时安 全应贯穿产 品全生命周 期，以减少 规避安全风 险。 云计算开源产业联盟 研发运营安全白皮书 12 洞， 具体而言， 该项目强调软 件代码开发过 程中，安全性 分析以及脆弱 性识别，从而 在开发过程的 早期发现并消 除漏洞、 缺陷。 前计划，与 研发安全密 切相关。 运营运营安全安全 联邦网络安 全研发战略计 划提出的四 项能力中，探 测和响应与安 全运营密切相 关，具体内容 包括实时监测 系统安全，及 时检测甚至预 测安全威胁， 动态评估安全 风险，对于安 全威胁进行联 动、自适应处 理。 国家网络 安 全 战 略 2016-2021 中明确提出 要提升防御

33、 能力，提高 政府和公共 部门抵御网 络攻击的弹 性，定期评 估关键系统 的 安 全 漏 洞，业界与 国家网络安 全中心 （NCSC）共 享网络威胁 最新情报， 进行主动防 御等具体举 措。 国家网络 安全战略 中提出，创 建安全威胁 早期预警、 漏洞管理和 应对安全威 胁的机制； 建立国家级 的系统、流 程、结构和 机制，对现 有和潜在网 络安全威胁 进行必要情 境推测等具 体措施。 网络安全 法案强调 制定和更新 联盟级别的 网络和信息 系统安全策 略，对于安 全事件联合 处理，内部 成员国共享 安全信息、 技术解决办 法，提升事 件处置的效 率。 表 3 重点国家及区域性国际组织研发运营

34、安全相关举措 （三）（三）国际标准组织及第三方非盈利组织积极推进研国际标准组织及第三方非盈利组织积极推进研 发运营发运营安全共识安全共识 ISO27304 关注建立安全软件程序流程和框架。ISO27034 是国际 标准化组织通过的第一个关注建立安全软件程序流程和框架的标准， 提供了面向企业落地应用安全生命周期的指导框架， 其本质目的是指 云计算开源产业联盟 研发运营安全白皮书 13 导企业如何通过标准化的方式把安全融合进入软件生命周期。 ISO27034 由七个部分组成，除了第四部分外已全部发布。 SAFECode 专注于应用安全。SAFECode 成立于 2007 年 10 月，在 过去 1

35、0 余年中，其发布的指南已被用于为许多重要行业和政府提供 信息，以解决软件安全问题。 SAFECode 组织认为尽管存在差异，但业 界公认的通用安全开发实践已被证明既实用又有效； 在软件保证流程 和实践中提供更高的透明度有助于客户和其他关键利益相关者有效 地管理风险。2018 年 3 月 SAFECode 发布第三版安全软件开发基本 实践，并在之后持续更新。安全软件开发基本实践说明保证软 件安全的具体开发和实施细则， 以确保软件按预期运营并且没有设计 缺陷和实现缺陷，具体内容包括安全设计原则、威胁建模、安全编码 实践、测试和验证、脆弱性及安全事件响应等。 OWASP（Open Web Appl

36、ication Security Project，即开放 Web 应用程序安全项目）关注软件安全，致力于改善软件的安全性，推动 全球软件安全的革新与发展。OWASP 是一个非盈利组织，于 2004 年 4 月 21 日在美国成立。OWASP 提供有关计算机和互联网应用程序的公 正、实际、有成本效益的信息，协助个人、企业和机构来发现和使用 可信赖软件。其发布的 OWASP Top 10 代表了对 Web 应用程序最严重 的 10 大安全风险，已经成为业界共识，是企业制定代码安全策略的 重要参考文件，也是进行安全编码的有效一步。 云计算开源产业联盟 研发运营安全白皮书 14 ISOISO27034

37、27034 SAFECodeSAFECode OWASPOWASP 关注对象关注对象 建立安全软件程 序流程和框架 应用安全 软件安全，改善 软件的安全性 具体具体内容内容 ISO27034 由七个 部分组成，是国 际标准化组织通 过的第一个第一个关注关注 建立安全软件程建立安全软件程 序流程和框架序流程和框架的的 标准标准，提供了面 向企业落地应用 安全生命周期的 指导框架，其本 质目的是指导企 业如何通过标准 化的方式把安全 融合进入软件生 命周期。 SAFECode 发 布 的指南已被用于 为许多重要行业 和 政 府 提 供 信 息，以解决软件 安全问题； 其发布的安全安全 软件开发基本

38、实软件开发基本实 践说明保证软践说明保证软 件安全的具体开件安全的具体开 发和实施细则发和实施细则， 以确保软件按预 期运营并且没有 设计缺陷和实现 缺陷，具体内容 包括安全设计原 则、 威胁建模、 安 全编码实践、测 试和验证、脆弱 性及安全事件响 应等。 OWASP 提供 有 关计算机和互联 网应用程序的公 正、 实际、 有成本 效益的信息，协 助个人、企业和 机构来发现和使 用可信赖软件 其发布的 OWASP Top 10 代表了对代表了对 Web 应应 用程序最严重的用程序最严重的 10 大安全风险大安全风险， 已经成为业界共 识，是企业制定 代码安全策略的 重要参考文件， 也是进行安

39、全编 码的有效一步。 表 4 国际标准组织及第三方非盈利组织研发运营安全相关工作 （四）（四）企业积极探索研发运营安全实践企业积极探索研发运营安全实践 微软持续改进安全开发生命周期 （SDL， 即 Security Development Lifecycle，以下简称 SDL）流程措施，推行研发运营安全实践。自 2004 年以来，SDL 作为微软一项强制性政策，在将安全性融入企业文 化与软件开发实践中发挥了重大作用，在推出之后，对于其内容也在 不断进行更新改进， 目前具体举措包括 1） 管理制度， 提供安全培训， 增强安全意识，确保人员了解安全基础知识；2）安全要求，定义安 全隐私要求与安全门

40、限要求，包括法律和行业要求，内部标准和编码 云计算开源产业联盟 研发运营安全白皮书 15 惯例，对先前事件的审查以及已知威胁等，安全门限要求指安全质量 的最低可接受级别，明确定义安全漏洞的严重性阈值；3）安全隐私 需求分析与设计，具体措施包括执行威胁建模，建立设计要求，明确 加密标准；4）管理使用第三方组件的安全风险，拥有准确的第三方 组件清单， 并了解其安全漏洞可能对集成它们的系统的安全性产生影 响；5）安全研发与验证，具体举措包括使用经过安全性检查，认可 的工具，执行静态应用程序与动态应用程序安全性测试，进行渗透测 试； 6） 发布部署阶段， 建立标准的事件响应流程， 7） 针对运营安全，

41、 通过人员权限认证，数据加密存储、传输，安全监控，定期更新安全 策略，抵御常见网络攻击，执行渗透测试等手段保证上线运营阶段的 安全。 借鉴行业领先实践、技术，思科推行企业安全开发生命周期，减 少产品安全风险。 如下图 4 所示， 具体措施涵盖， 1） 明确安全要求， 包括思科内部安全基线要求与基于行业、场景的市场安全要求；2） 第三方安全，利用工具了解潜在的第三方软件安全威胁，不断更新已 知第三方软件威胁和漏洞列表，对于产品团队进行告警；3）安全需 求分析与设计，内部安全培训计划鼓励所有员工提高安全意识，同时 鼓励开发和测试团队深入学习安全知识， 通过持续不断地发展威胁意 识，并利用行业标准原则和高度安全的经过审查的解决方案，努力开 发出设计上更加安全的产品； 通过威胁建模了解和确定系统的安全风 险并确定优先级；4）安全编码与验证，建立内部的安全编码标准， 维护经过审核的通用安全模块， 同时通过静态应用程序安全测试与漏 云计算开源产业联盟 研发运营安全白皮书 16 洞扫描，渗透测试等手段保证安全性；5）发布部署，建立安全发布