OSCAR-研发运营安全白皮书（2020年）-2020.7-71页_2mb

研发运营安全白皮书总结（2020年）

核心内容

本白皮书由云计算开源产业联盟（OSCAR）发布，旨在探讨研发运营安全的重要性、发展现状、关键要素及未来趋势。主要内容包括：

• 研发运营安全的必要性：强调安全左移，从设计阶段开始引入安全，覆盖软件应用服务全生命周期。
• 全球研发运营安全市场发展：指出应用安全市场增速高于整体信息安全市场，安全测试技术（如AST）是关键。
• 国家及国际组织的政策支持：美国、英国、印度、欧盟等国家和区域组织已发布相关政策，推动研发运营安全的实践。
• 国际标准与组织的贡献：ISO27034、SAFECode、OWASP等组织在研发运营安全方面提供了重要的标准与指导。
• 企业的实践与解决方案：微软、思科、VMware等企业推行了研发运营安全体系，如SDL和DevSecOps，并介绍了相关技术工具。
• 未来发展趋势：研发运营安全体系将更加完善，推动安全技术工具的发展，构建安全可信生态，提升供应链安全。

主要观点

1. 安全左移：将安全考虑前置到研发阶段，以降低修复成本，提高整体安全性。
2. 全生命周期覆盖：研发运营安全应贯穿从需求分析、设计、开发、测试、发布、运营到停用下线的全过程。
3. 自动化与技术驱动：研发运营安全依赖自动化工具，如SAST、DAST、IAST、SCA、RASP、WAF等，以提升效率与准确性。
4. 合规与隐私保护：企业需满足法律法规及行业标准要求，同时注重用户隐私保护。
5. 敏捷与DevSecOps：随着开发模式向敏捷化发展，研发运营安全体系也向DevSecOps演进，强调安全与开发的深度融合。
6. 安全可信生态：未来将推动行业间的合作，构建安全可信的生态系统，提升整体安全性。

关键信息

全球市场情况

• 应用安全市场：2019年全球市场规模为30.95亿美元，预计2020年增长至32.87亿美元，年增长率6.2%。
• 中国应用安全市场：2019年市场规模为8.48亿美元，预计2020年增长至9.45亿美元，年增长率11.5%，高于全球平均水平。
• AST市场：预计以10%的复合年增长率增长，2019年底市场规模估计为11.5亿美元。

国家及国际组织举措

国际标准与组织

企业实践

• 微软：推行SDL流程，强调安全集成于开发全过程。
• 思科：构建企业安全开发生命周期，注重安全测试与验证。
• VMware：实施安全开发流程，涵盖从安全培训到安全运营的各个环节。

技术工具与解决方案

未来趋势展望

1. 安全管理体系完善：随着安全意识的提升，安全管理制度和流程将更加完善。
2. 技术工具持续发展：自动化与智能化安全工具将成为研发运营安全的核心支撑。
3. 构建安全可信生态：推动行业合作，共同建设安全可信生态，满足多样化安全需求。
4. 提升供应链安全：第三方组件与开源软件的安全管理将更加严格，以确保整体应用安全。

优秀实践案例

华为云可信研发运营案例

1. 痛点分析：

   • 数据泄露、接口不安全、系统漏洞、账户劫持、APT攻击等是云服务面临的主要威胁。
   • 企业上云的关键安全诉求包括业务连续性、运维可管控、数据保密性等。

2. 实践实现：

   • 管理制度：建立可信文化，强化人员安全能力。
   • 安全要求：推出DevCloud产品，固化安全规范与工具。
   • 安全隐私需求分析与设计：开发、运维、安全一体化，实现过程与结果可信。
   • 研发与验证：提供开发工具与平台，确保代码安全与隐私保护。
   • 发布部署：确保云服务上线前满足安全与合规要求。
   • 上线运营：通过WAF、加密、访问控制等手段，保障服务安全运行。

结论

研发运营安全体系是软件应用服务安全的重要保障，通过安全左移与全生命周期管理，能够有效降低安全风险。未来，随着技术的不断进步和安全意识的提升，研发运营安全将更加完善，推动构建安全可信的软件生态。