安全开发生命周期（SDL）建设中“安全左移”方案(1).pdfVIP

安全开发生命周期（SDL）建设中

“安全左移”方案

公开范围：企业内部公开版本信息：v1.0

方案背景

早在2012年Gartner报告便提出：安全风险越靠近运维侧，则企业要花费的安全成本越高。但长期以来，业界的

安全防护更多的侧重于软件上线后，而对研发阶段的安全投入不多。

近几年《网络安全法》、《关键信息基础设施安全保护条例》、《个人信息保护法》、《数据安全法》等一系

列相关法律法规的陆续颁布、实施，对应用安全提出了更高的要求。同时伴随着愈来愈多的安全事件发生,漏洞

修复成本也明显增加，各企业逐渐意识到，软件应在研发侧更早、更快地发现并处理安全风险，而不是先上线

再花费大量精力去解决现网安全问题。然而企业在建设SDL流程时，由于普通漏洞检查方式难以嵌入研发阶段，

导致安全测试靠后，不能快速、及时、有效的排查项目风险。

企业软件安全测试四大痛点

研发人员大多不具备安全开发意识，对潜在的安全漏洞缺乏认识和了解，难以保障

系统上线前研发代码的安全性;

传统企业安全人员配比相对较低，大量系统功能即将发布上线才集中推进安全测试，

交付压力严重影响