云计算开源产业联盟-研发运营安全白皮书（2020年）-2020.7-71页_2mb

研发运营安全白皮书总结

核心内容

本白皮书由云计算开源产业联盟发布，旨在分析研发运营安全的发展现状、关键要素及未来趋势。随着信息化的发展，软件应用服务在各个行业和领域广泛应用，其自身安全问题成为业界关注的焦点。传统研发运营模式中，安全介入滞后，无法有效覆盖研发阶段的安全问题，因此推动研发运营安全体系的构建，强调安全左移，覆盖软件应用服务全生命周期，成为当前的重要趋势。

主要观点

1. 安全左移的重要性
   安全左移有助于在软件开发的早期阶段发现和修复安全问题，从而大大降低修复成本。根据NIST的数据显示，发布后修复漏洞的成本是设计阶段修复成本的30倍。

2. 全生命周期安全体系
   新型研发运营安全体系强调在设计、开发、测试、发布、运营等各个阶段引入安全措施，形成安全闭环，提升整体安全性。

3. 安全技术工具的发展
   自动化安全技术工具的持续发展是实现研发运营安全的重要支撑，包括静态应用程序安全测试（SAST）、动态应用程序安全测试（DAST）、交互式应用程序安全测试（IAST）、软件组成分析（SCA）和实时应用自我保护（RASP）等。

4. 企业实践与国际标准
   多个国家和国际组织已发布相关政策和指南，推动研发运营安全的发展。同时，国际标准组织如ISO、第三方非盈利组织如OWASP和SAFECode也在积极推进研发运营安全的共识。

关键信息

一、研发运营安全概述

• 安全左移：在软件开发的早期阶段引入安全措施，以减少漏洞数量和修复成本。
• 全生命周期安全体系：涵盖从需求分析到停用下线的各个阶段，确保安全措施贯穿整个生命周期。
• 体系框架：包括管理制度、安全要求、安全需求分析与设计、研发与验证、发布部署、上线运营和停用下线等部分。

二、研发运营安全发展现状

• 全球市场增长：2019年全球信息安全支出为1209.34亿美元，预计2020年将达到1238.18亿美元。应用安全市场增速高于整体信息安全市场。
• 国家与国际组织举措：美国、英国、印度、欧盟等国家和地区已发布相关政策和指南，推动研发运营安全。
• 国际标准组织：ISO27034、SAFECode和OWASP等组织正在推动研发运营安全的标准化和最佳实践。

三、研发运营安全关键要素

1. 管理制度

   • 建立统一的安全基线和管理制度。
   • 实施安全培训，增强人员安全意识。
   • 制定安全审计和变更管理机制。

2. 安全要求

   • 明确质量安全门限要求。
   • 实施权限管理和安全审计。
   • 确保环境隔离和安全配置。

3. 安全隐私需求分析与设计

   • 进行威胁建模和安全设计原则分析。
   • 明确安全隐私需求，制定安全测试用例。

4. 研发与验证

   • 使用自动化工具进行代码安全检测。
   • 管理开源及第三方组件风险。
   • 实施安全编码规范和测试流程。

5. 发布部署

   • 制定发布安全流程和权限管控机制。
   • 进行病毒扫描和数字签名验证。
   • 实施事件响应计划和发布回滚机制。

6. 上线运营

   • 实施安全监控和安全运营机制。
   • 定期进行风险评估和渗透测试。
   • 建立应急响应流程和安全事件处理机制。

7. 停用下线

   • 制定服务下线方案和隐私保护措施。
   • 确保数据留存符合最小化原则。

四、研发运营安全发展趋势展望

• 安全管理体系完善：随着安全意识的提升，管理制度和流程将更加完善。
• 安全技术与工具发展：安全技术工具的持续发展将推动研发运营安全的实践落地。
• 安全可信生态布局：企业将合作共建安全可信生态，满足不同行业和场景的安全需求。
• 供应链安全提升：随着软件应用服务对第三方组件的依赖，供应链安全将成为重要考量。

附录：优秀实践案例

1. 华为云可信研发运营案例

   • 痛点：数据泄露、身份管理不足、不安全的接口、系统漏洞等。
   • 落地实现：华为云在研发运营全生命周期中引入可信要求，构建“过程可信”+“结果可信”的高质量产品。
   • 安全措施：包括数据加密、访问控制、安全审计、安全测试等。

2. 腾讯研发运营安全实践

   • 重点措施：采用自动化安全工具，实施安全左移，确保安全测试覆盖全生命周期。

3. 国家基因库生命大数据平台案例

   • 重点措施：通过安全审查和安全测试，确保基因数据的安全性和隐私保护。

图表与工具

• 图1：Forrester外部攻击对象统计数据。

• 图2：研发运营各阶段代码漏洞修复成本。

• 图3：研发运营安全体系。

• 图4：Cisco SDL体系框架图。

• 图5：VMware SDL体系框架图。

• 图6：微软SDL流程体系。

• 图7：DevSecOps体系框架图。

• 图8：研发运营安全解决方案阶段对应图。

• 工具类型：SAST、DAST、IAST、SCA、RASP、WAF等。

• 主要厂商：Synopsys、Checkmarx、Veracode、奇安信、默安科技、安百科技、阿里云、腾讯云、Imperva、Akamai、Cloudflare、AWS等。

结论

研发运营安全体系的建立和实施，是提升软件应用服务安全性的关键。通过安全左移，覆盖全生命周期，结合自动化安全工具和技术，可以有效降低安全风险，提升整体安全水平。同时，随着敏捷开发和DevOps的发展，研发运营安全体系也在向敏捷化演进，实现更高效、更安全的软件开发和运营流程。