蔡兵克-攻防相长，工行 DevSecOps 探索与实践

软件安全体系演化与DevSecOps实践

行业背景与趋势

• 从国家安全战略看，国家高度重视网络安全建设
• 金融行业监管重点已转向体系化安全要求
• 软件安全体系正经历从传统模式向DevSecOps的演进

DevSecOps核心概念

• 定义：以应用安全为核心的端到端安全理念与实践模式
• 四大控制范围：通用风险、开发过程风险、交付过程风险、运营过程风险
• 核心原则：人人为安全负责、安全左移、全流程安全内建、安全闭环
• 生命周期划分：需求、设计、研发、构建、测试、部署发布、运营反馈、应急响应、安全运营、安全监控

工行软件安全能力建设

• 发展历程：从DevOps打通到安全管控探索
• 建设目标：
  • 一个提升：提升软件安全开发自动化水平
  • 两个降低：降低监管合规风险、降低对专项安全人员依赖
  • 最终目标：构建覆盖应用开发运营一体化的安全管理及技术体系

工行DevSecOps建设路径

• 三阶段实施策略：
  1. 阶段1：DevOps打通及现有安全管理制度（实现全流程打通）
  2. 阶段2：工具引入（引入开源治理工具、IDE插件等完成自动化扫描）
  3. 阶段3：强化体系建设（整合告警收敛、实时检测）

DevSecOps能力体系

• 应用安全融合能力：
  • 实现研发边界左移与右移
  • 在供应链管控、需求设计等环节融入安全措施
  • 构筑共生积极防御体系
• 全流程闭环自动化能力：
  • 实现从开发到运维的闭环安全管理
  • 通过平台整合各安全工具告警信息
• 安全研发全生命周期工具支撑：
  • 补充安全需求、建模、代码规范能力
  • 提供检测、分析及定期安全报告

DevSecOps展望

• 未来深化应用：
  • 运维与开发进一步融合（SRE转型）
  • 开发向交付服务转变（全功能团队扩大）
  • 从安全开发到安全原生（通用安全技术固化为应用能力）
• 核心转变：
  • 安全与开发运维融合
  • 实现安全过程化控制及左移
  • 降低对开发人员安全能力的依赖