数世咨询：持续应用安全_CAS_白皮书_43页_9mb

持续应用安全（CAS）白皮书总结

核心内容

持续应用安全（CAS）是基于我国软件供应链安全现状提出的解决方案，是DevSecOps理念在商业市场的落地实践。其核心目标是解决敏捷开发在数字时代提出的安全保障需求，专注于保障数字化应用在源代码阶段、构建部署阶段、上线运行阶段的全流程安全状态。CAS通过安全能力原子化，实现安全能力的离散式制造、集中式交付、统一化管理和智能化应用，从而帮助用户减少资源投入、整合安全能力和提升安全效率。

主要观点

1. 软件供应链安全的重要性

   • 在全球数字化进程加速的背景下，软件供应链安全已成为国家安全和数字时代发展的核心议题。
   • 软件供应链安全问题具有隐蔽性强、影响范围广、破坏力大的特点，是APT攻击的延伸。

2. 安全能力原子化理念

   • 安全能力原子化是一种面向未来的安全理念，强调将安全能力拆解为最小单元，实现灵活组合与动态编排。
   • 安全能力原子化可有效提升安全效能，实现安全建设的收益最大化。

3. CAS的实施路径

   • 第一阶段：聚焦于软件开发和运行维护阶段，保障源代码到上线运行的全流程安全。
   • 第二阶段：融入数据开放环节，保障数字化业务的持续运营，凸显安全能力的经济效益。
   • 第三阶段：构建完善的软件供应链安全防护体系，实现数字商业、数字政府和数字社会的可持续发展。

4. CAS的实现方式

   • 通过统一管理平台，集成SCA、SAST、IAST、DAST、Fuzzing、RASP、移动应用安全测试等安全能力。
   • 安全数据通过关联分析实现精准预警，降低误报率，提升整体安全防护能力。

关键信息

软件供应链安全现状

• 软件供应链安全已成为全球关注的焦点，尤其是在国际局势紧张、技术风险加剧的背景下。
• 全球各国纷纷出台相关政策，如美国的《美国供应链》和《改善国家网络安全》行政命令，我国也有《网络安全法》、《网络安全审查办法》等法规支持。
• 重大安全事件（如SolarWinds、Log4j2）凸显了软件供应链安全的重要性，促使企业加强安全建设。

安全能力原子化与CAS

• 安全能力原子化：将安全能力拆解为最小单元，便于灵活应用和动态编排。
• CAS定义：通过统一平台集成多种安全能力，实现与CI/CD流程的自动化联动，持续保障应用安全。
• CAS特点：
  • 全流程覆盖：涵盖源代码、构建部署、上线运行等关键阶段。
  • 数据驱动：通过安全数据的关联分析，提升安全预警与风险预测能力。
  • 可扩展性：用户可根据实际需求自由选择安全能力，不强制包含所有技术。

相关技术介绍

平台能力

• CAS平台具备智能编排与调度能力，可结合用户实际业务场景动态配置安全能力。
• 平台支持安全数据的智能分析，提升检测效率和精准度。
• CAS平台通过整合安全工具，形成统一的安全流程，实现安全左移和持续化防护。

未来趋势分析

• 数字安全产业正朝着融合与平台化方向发展。
• 单点安全能力虽有优势，但存在边际效益递减的问题，因此，体系化、平台化的安全解决方案成为行业主流。
• 用户更关注安全能力与数据的联通性，以实现更高的安全效能与经济收益。
• 一体化平台型产品将成为未来安全建设的主流趋势。

结语

数世咨询致力于将全球领先的安全理念、技术中国化，并推动中国安全方案走向国际化。持续应用安全（CAS）作为安全能力原子化的具体实践，是解决我国软件供应链安全问题的重要方向。通过CAS的实施，可以实现安全能力的高效整合、安全数据的智能分析、安全流程的持续优化，为数字时代的安全发展提供坚实保障。

数字世界，安全共生！