企业自研办公系统安全自测.docxVIP

企业自研办公系统安全自测

干企业安全相关工作快十年了，我见过太多栽在自研办公系统安全上的例子：从小规模创业公司到几千人的中大型企业，好多管理者都觉得“我们就是做个内部用的系统，适配自己的业务流程，又不放出去给外人用，能有啥安全问题”，结果要么是内部数据泄露搞得全员人心惶惶，要么是被外部黑客攻破删了核心数据，连工资都发不出来。其实只要提前做好安全自测，绝大多数问题都能提前发现避免，根本不会发展成不可收拾的大事故。本文我就结合这些年的实操经验，把企业自研办公系统安全自测的完整流程和核心要点梳理清楚，不管你是安全岗还是开发运维，跟着走就能把自测做扎实。

1自测开展前的基础准备

很多企业一提到安全自测，上来就找个工具扫一遍代码就算完事，最后要么漏了大半问题，要么测出一堆无关的误报，根本起不到作用。磨刀不误砍柴工，正式开始自测前，一定要先把基础工作做足，才能保证后续自测的效率和准确性。

1.1明确自测的范围和边界

首先要划清楚，这次自测到底覆盖哪些内容，千万不能稀里糊涂混在一起。一般来说，企业自研办公系统包括核心的OA协同、人事考勤、薪资报销、公章管理、内部文件共享这些核心系统，还要把这些系统对接的所有第三方模块、开源组件都算进去。我之前就碰到过一家公司，自测的时候只测了自己开发的核心代码，忘了把对接薪资发放的第三方开源工具算进去，结果那个工具早就爆了高危漏洞，全公司员工的银行卡信息就这