行业研究公司研究宏观策略财报招股书会议纪要海南封关低空经济 DeepSeek AIGC 大模型

中泰证券开发安全体系规划及实践

2023-04-29开放运维联盟&高效运维社区&DevOps时代d***

AI智能总结

中泰证券开发安全体系规划及实践总结

一、背景与挑战

随着网络安全形势日益严峻，应用软件漏洞数量持续攀升。根据CNNVD数据，2018年至2022年应用软件漏洞占比逐年上升，2022年达到76.2%。GOPS全球运维大会2023上海站披露的数据显示，漏洞数量呈现高速增长趋势，2022年同比增长19.28%。监管机构对网络安全愈发重视，企业需在快速交付与安全左移之间寻求平衡。当前面临的主要挑战包括开发人员安全意识不足、快速交付与安全嵌入的矛盾、用户体验与安全性的平衡问题，以及多种开发安全工具的选择困难。

二、安全体系规划

中泰证券构建了完整的开发安全框架，覆盖从需求设计到生产上线的全生命周期：

预发布阶段：进行威胁建模、安全评审、安全设计，并采用SAST、SCA等工具进行静态扫描。
开发阶段：通过SAST、IAST等工具进行代码安全检测，并制定安全编码规范和黑灰名单。
测试阶段：结合DAST、IAST进行动态和交互式安全测试，并开展渗透测试。
生产上线阶段：进行镜像安全扫描、个人信息保护检测，并实施漏洞扫描、基线检测和人工安全测试。

三、DevSecOps实践

中泰证券通过以下措施推进DevSecOps实践：

团队及合作：建立跨职能虚拟团队，明确角色职责，通过培训提升安全能力，并支持跨部门协作。
安全工具链：集成SAST、SCA、IAST、DAST、渗透测试等工具，实现安全检测自动化。
平台支撑：构建DevOps平台，整合需求管理、代码管理、持续集成/持续交付等工具，实现安全能力与开发流程的深度融合。
合理的安全门限：在CI/CD流程中设置SAST、DAST、IAST等安全扫描门禁，确保代码安全质量。
持续的安全运营：通过安全告警监测、威胁情报分析、定期安全检测、漏洞响应等手段，持续提升安全能力。

四、收益与价值

通过DevSecOps实践，中泰证券实现了以下收益：

效率提升：安全能力集成到开发流水线，实现自动化调度，显著减少漏洞修复时间和人力成本。
成本降低：通过安全工具、策略和门限的统一，实现安全开发过程标准化，降低安全运营成本。
协作增强：通过高效协同，提升整体安全能力，形成安全人人有责的意识。
标准化实现：结合各类标准规范，实现安全开发过程的标准化管理。
能力评估：通过中国信通院的DevSecOps标准评估，验证全域安全能力。

五、结论

中泰证券通过构建完善的开发安全体系和DevSecOps实践，有效提升了安全能力，实现了安全左移，降低了安全风险，并推动了安全开发过程的标准化和自动化。这一实践为金融科技行业提供了可借鉴的安全建设路径。

朱继建推进开发安全的背景 1 目录安全体系规划 2 CONTENTS D e v S e c O p s实践 3 01推进开发安全的背景公开披露的漏洞数据严峻的网络安全形势监管愈发重视安全左移的众多挑战 02安全规划 03 DevSecOps探索实践 DevSecOps探索实践 1.团队及合作2.安全工具链3.平台支撑4.合理的安全门限5.持续的安全运营团队及合作开发测试及运维上层支持能力提升项目管理人员模式变革支持针对不同角色培训安全人员跨部门协作支持跨职能虚拟团队项目及费用支持内部实践/案例分享安全工具链及措施需求与设计安全工具链及措施安全工具链及措施安全工具链及措施静态应用安全测试SAST 安全工具链及措施 G O P S全球运维大会2 0 2 3 ·上海站安全工具链及措施需求与设计 G O P S全球运维大会2 0 2 3 ·上海站安全工具链及措施 G O P S全球运维大会2 0 2 3 ·上海站安全工具链及措施 G O P S全球运维大会2 0 2 3 ·上海站安全工具链及措施需求与设计 •漏洞扫描、基线检测、安全加固（1）通过对生产环境服务器操作系统、虚拟机操作系统、中间件、数据库进行漏洞安全检测，降低因高中危漏洞被攻击者利用的风险；并对扫描发现的漏洞进行加固（2）通过基线扫描，检查生产环境服务器操作系统、虚拟机操作系统、中间件、数据库是否存在不安全配置隐患；并对扫描发现的不安全配置进行加固 •人工安全测试针对存在较高安全隐患、重要信息系统，在完成前期各项测试的基础上，开展补充安全测试平台支撑开发平台支撑 G O P S全球运维大会2 0 2 3 ·上海站合理的安全质量门限设置安全门限黑灰名单合理设置指标安全编码制定并落地禁止和不推荐使用的开发框架、函数列表、危险的第三方组件和库等黑灰名单，防止应用程序先天不足制定安全编码规范，并通过安全检测工具落地相关要求，保障编码安全质量将SAST、DAST、IAST、SCA等安全扫描、测试集成至CI/CD流程中，设置安全门禁开发流程的各个阶段设置合理的安全门限指标并严格执行安全质量门限卡点持续的安全运营收益和价值通过了中国信通院开展的《研发运营一体化（DevOps）能力成熟度模型》安全及风险管理（DevSecOps标准）全域安全能力（安全开发、安全交付及运营）的评估。协作成本标准效率通过安全工具、策略、门限的统一，结合各类标准规范的配套，实现安全开发过程标准化通过各团队的高效协同，提升整体安全能力，形成安全人人有责的意识安全左移，尽早发现安全漏洞，显著减少修复的时间和人力成本安全能力与工具被集成到开发流水线，实现安全能力的自动化调度开放运维联盟高效运维社区DevOps时代荣誉出品

点击免费查看完整报告