TSM可信研发运营安全能力成熟度水位图报告

TSM可信研发运营安全能力成熟度水位图报告（2025年）总结

一、整体概述

• 研发运营安全问题凸显，影响广泛：软件漏洞引发的安全事件日益频繁，对业务运行和个人信息安全造成重大隐患，软件供应链安全成为保障软件生态稳定与防范系统性风险的关键要素。企业研发运营安全管理与能力不足是软件安全漏洞产生的关键原因之一。
• TSM可信研发运营安全能力成熟度相关工作介绍：TSM可信研发运营安全能力成熟度模型由中国信通院牵头制定，覆盖应用服务全生命周期安全，强调安全左移，具有覆盖范围广、普适性强、强调安全管理和运营安全数据反馈等特点。TSM评估依据标准展开，划分为9个子域38大子项，将企业整体研发运营安全能力划分为基础级、增强级、先进级三个级别。

二、TSM水位图介绍

• TSM水位图框架：TSM水位图框架分为5大领域17类子项，包括体系、要求、设计、控制和数据，分别对应安全组织、制度流程、培训赋能、标准规范、安全门限要求、身份与访问管理、安全审计、环境安全、变更升级和配置管理、安全需求分析、安全设计、开源治理、安全编码、安全测试、安全发布、安全监控运营、安全数据管理。
• TSM水位图作用：TSM水位图作为TSM可信研发运营安全能力成熟度评估的最终产物之一，可直观展示企业安全现状，帮助企业量化安全建设能力，明确改进计划，并为改进计划设立明确优先级，具有持续改进的特性。

三、TSM水位图结果分析

• 评估参与企业：本报告针对35家企业的TSM可信研发运营安全能力成熟度评估情况进行了分析，参与评估企业覆盖公司安全负责人、项目经理、产品经理、架构设计人员、开发人员、测试人员、运营人员等多个层级，企业规模以大型企业为主，所属区域以华东、华北和中南区域为主，所属行业以软件行业厂商为主。
• TSM水位图结果：安全组织和标准规范、身份与访问管理平均得分最高，而开源治理和安全数据管理平均得分最低。
• 与TSM水位图1.0对比分析：整体上近两年企业研发运营安全能力没有显著变化，但企业在安全培训、安全需求、安全设计、开源治理方面能力有相对显著的提升。

四、可信研发运营安全关键活动演进

• 人员层面：安全文化建设与协同机制逐步完善，组织架构逐步健全，职责边界愈发清晰，安全意识深化普及，组织协同机制的演进。
• 流程层面：从阶段管控到自动化常态化跃进，安全需求与设计平台化，开源治理流程规范化，安全数据价值化。
• 技术层面：实现从被动响应到安全前置的能力升级，安全介入时机的前移，安全工具的自动化水平提升，技术能力的智能化升级。

五、下一步工作计划

• 丰富行业数据，完善水位图考察指标，扩大评估样本数量，建立用户反馈机制。

附录

• 附录1：TSM水位图活动详解：详细介绍了TSM水位图5大领域17类子项的考察指标。
• 附录2：TSM企业能力自评表：提供TSM可信研发运营安全能力自评表，方便企业进行自评。