2024年实战实录：企业级应用安全机密治理态势白皮书

核心观点与关键数据

• 秘密威胁日益严峻：非人类身份普及和应用架构复杂性导致凭据管理挑战加剧，秘密泄露风险上升。2023年GitHub上公开的秘密数量同比增长28%，达到1280万个。
• 投资增加但准备不足：平均32.4%的网络安全预算用于密钥管理与代码安全，但23%的组织缺乏成熟策略，仅依赖手动审查或无策略。77%的组织计划在2025年前投资密钥管理工具，其中75%关注检测和修复能力。
• 泄露事件普遍且后果严重：79%的组织经历过或知晓秘密泄露，77%的事件造成实际损害（公司或员工）。平均修复时间长达27天。
• 信心与现实存在差距：75%的受访者对密钥管理能力有信心，但仅44%的开发者遵循最佳实践，修复时间较长，显示实践层面仍有不足。
• 组织规模影响成熟度：大型组织通常更稳健，但平均每个组织使用6个秘密管理实例，显示整合挑战。

新兴风险关注点

• AI编码助手风险：43%的受访者担忧AI学习复制敏感信息模式，39%担忧AI生成代码的安全审查不足。美国受访者担忧比例更高（AI相关48%）。
• 软件供应链风险：36%视开源依赖为关键风险，35%担忧源代码仓库被篡改，32%将硬编码秘密视为关键风险，显示基础安全与高级威胁并存。

研究结论

• 组织在秘密管理意识和投资上进步明显，但泄露事件频发，显示挑战持续增长。
• 高信心与长修复时间、低最佳实践遵循率等现实数据形成对比，需弥合感知与实践差距。
• 面对AI编码助手和供应链脆弱性等新挑战，需采取更集成的方法，培养共同责任文化，自动化关键流程，并解决多系统管理问题。
• 成功需在创新与安全实践间找到平衡，并持续警惕传统及新兴威胁。