張帥

“軟件正在吞噬整個(gè)世界。”

隨著信息化和數(shù)據(jù)化程度的加深以及企業(yè)之間的競(jìng)爭(zhēng)加劇，這個(gè)經(jīng)典論斷正在兌現(xiàn)。軟件成為現(xiàn)代企業(yè)商業(yè)成功的核心所在，新的挑戰(zhàn)同時(shí)浮現(xiàn)——軟件敏捷開發(fā)模式下，傳統(tǒng)安全保障方案受限頗多，如何兼顧效率與安全？

基于敏捷開發(fā)場(chǎng)景下的安全管理解決方案成為企業(yè)的首選。

安恒信息安全管理平臺(tái)具備自動(dòng)化多工具上線安全檢測(cè)的能力，既避免了完全依賴于人工水平出現(xiàn)難以管控的情況，又能充分發(fā)揮專業(yè)安全人員的價(jià)值，保障了系統(tǒng)在開發(fā)階段的安全性。

上海某金融企業(yè)業(yè)務(wù)開發(fā)上線較為頻繁，存在上線前安全測(cè)試壓力大、整改修復(fù)周期短、開發(fā)人員對(duì)漏洞風(fēng)險(xiǎn)的修復(fù)缺乏專業(yè)認(rèn)識(shí)等問(wèn)題，遂決定采用基于敏捷開發(fā)場(chǎng)景下的安全管理解決方案。

基于安恒信息安全管理解決方案，該項(xiàng)目上線后，在需求階段通過(guò)輕量化的威脅建模分析平臺(tái)形成了針對(duì)業(yè)務(wù)功能的安全要求、設(shè)計(jì)要求以及相對(duì)應(yīng)的測(cè)試要求，并將這些要求結(jié)合到軟件需求說(shuō)明書、軟件測(cè)試用例清單中，用于指導(dǎo)相關(guān)人員研發(fā)安全的軟件。

同時(shí)其還引入了包括源代碼檢測(cè)、Web及APP應(yīng)用安全檢測(cè)、第三方組件檢測(cè)等各類黑盒與白盒的安全檢測(cè)工具，可自動(dòng)對(duì)研發(fā)過(guò)程中的相關(guān)產(chǎn)物進(jìn)行安全驗(yàn)證，對(duì)于工具無(wú)法檢測(cè)的安全要求則由人工測(cè)試完成閉環(huán)。

《計(jì)算機(jī)世界》記者了解到，安恒信息后續(xù)將從三個(gè)維度將對(duì)安全管理平臺(tái)功能進(jìn)行升級(jí)：

其一是提供安全管理平臺(tái)的可接入性和可擴(kuò)展性，在安全檢測(cè)階段增加對(duì)插件化的支持，便于插件化對(duì)接自動(dòng)化掃描工具，以應(yīng)對(duì)各類靈活開發(fā)的項(xiàng)目，增強(qiáng)平臺(tái)對(duì)各類主流工具的兼容性，提高個(gè)性化需求及自動(dòng)化檢測(cè)能力;

其二是進(jìn)一步深化威脅建模能力，增加安全需求設(shè)計(jì)、安全性要求對(duì)接功能，以保證項(xiàng)目初期的安全需求及設(shè)計(jì)符合安全性要求，減少后期開發(fā)成本;

其三是進(jìn)一步深入研發(fā)日常工作，與一些通用的集成開發(fā)環(huán)境例如IDEA聯(lián)動(dòng)，提供安全的開發(fā)環(huán)境及第三方組件，以方便研發(fā)人員使用等。