2024年实战者之声报告

核心观点与关键数据

• 机密泄露呈上升趋势：79%的受访者报告其组织曾经历或意识到信息泄露，其中77%的事件对公司、员工或两者造成实质性损害。2023年GitHub上公开的机密数量同比增长28%，达到1280万个。
• 对秘密管理的投资增加：平均32.4%的安全预算投入秘密管理和代码安全，美国组织占比最高（49.8%），法国最低（25.2%）。77%的组织计划到2025年投资秘密管理工具，其中75%聚焦于秘密检测和修复能力。
• 组织准备挑战：尽管75%的受访者对其机密管理能力表示中等至高度自信，但平均修复时间为27天，仅44%的开发人员遵循安全最佳实践，存在显著差距。
• 不同组织规模与区域差异：大型组织通常表现出更完善的实践，但平均每个组织存在6个机密管理实例，表明维护一致安全控制的挑战。
• 对AI驱动的编码助手的担忧：43%的受访者强调AI系统学习和复制敏感信息模式的风险；32%将硬编码的密钥识别为软件供应链中的关键风险点。

研究结论

• 认知与实践脱节：组织间高度自信与运营现实（长修复时间、低最佳实践遵循率）之间的对比，凸显了认知与实践之间的关键差距。
• 新兴挑战：AI编码助手和供应链脆弱性（如开源依赖项、源代码库漏洞）等新兴挑战，强调了对机密安全采取更集成化方法的必要性。
• 改进方向：组织需实施强大的技术解决方案，培养安全团队与开发人员之间的共同责任文化，自动化关键安全流程，并解决跨多个管理系统蔓延的机密管理基本挑战。
• 平衡发展：未来需要在创新速度与系统性安全实践之间取得平衡，同时保持警惕以应对传统风险和新兴威胁。

成熟度模型

• GitGuardian制定了涵盖开发者环境、源代码管理、CI/CD流水线、资产与客户合作、运行时环境五个领域的密钥管理成熟度模型，分为零（未入门者）到四级（专家级）。
• 该模型为组织提供了提升密钥管理流程和实践的路线图。