本文分析数字化时代科技安全风险治理的挑战，提出以安全为核心的治理方法，涵盖制度建设、流程建设、运营分析及基础设施建设等方面。

🎯制度建设：基于风险治理需求和目标，建立健全全流程安全管理制度，涵盖角色职责、适用范围等要求，并不断细化完善更新制度体系。

🚀流程建设：分为事件处理型和研发流程型，提升处置时效，实现自动化能力提升，安全做到过程数据卡点管控，漏洞在安全运营平台闭环管理。

📊运营分析：包括运营指标、高效汇报机制、持续运营提升，促进体系良性发展，实现对业务的价值输出，需建立实时汇总的全局安全态势平台。

🛠️基础设施建设：包括流量分析检测平台、代码扫描平台等，为安全风险治理提供支撑，还需专项治理开源软件，推动架构和服务治理。

流程建设分为「事件处理型」和「研发流程型」。

风险事件从上报到验证关闭，全流程状态通知，并逐级抄送，提升处置时效。并将流程中的数据打通，可提供丰富直观的报表，降低运营成本的同时也让运营工作更加精细化。

一般事件类处置流程

经过安全团队的严格推进和研发团队的定制化实践 ，行内SDLC执行已逐渐由安全主导转变为开发主导，契合DevOps流程。研发流程配合安全统一管控，实现自动化能力提升，安全也可做到过程数据卡点管控，对发现的漏洞执行溯源。

结合SDLC的DevOps安全与风险管控机制

随着安全服务和安全能力的不断成长和进化，安全管控体系中的执行要求、检查、控制、保障，绝大部分由工具自动化静默执行。安全工具和卡点管控嵌入到需求管理、测试管理、版本管理等各类流程中，从另一方面来说，也保证了需求必须按照标准化流程流转。

研发安全风险管控具体流程

在SDLC的安全测试环节，包括人工测试、工具扫描发现的漏洞，统一在sop安全运营平台实现闭环管理。

漏洞处理流程

应用安全的持续运营，能够打通各环节的建设内容，促进整个体系良性发展。

安全运营分析包括三个方面：

运营指标：支持多类型事件、多维度数据分析，对安全团队自身运营质量和其他团队的执行质量都有数据化展示分析，最终形成制度化考核机制，对涉及的人、过程、技术进行综合评估

高效汇报机制：定期通过邮件、例会等形式同步各干系人运营质量及安全要求，自上而下推动风险管控和制度的更新迭代

持续运营提升：依据上一轮成效评估，持续改进管理过程和运营手段，实现对业务的价值输出目标

安全运营分析的三个方面

安全运营是一个长久化、持续性过程。尤其是在行内数据量庞大，组织架构复杂、信息分散的背景下，运营机制的自动化和可视化，很大程度上决定着运营质量和效率。我们要做的是一个实时汇总，能够感知全局安全态势的平台，通过大数据分析提供新一轮迭代优化的依据。

各类风险报表化展示

围绕安全风险治理的需求提出的治理体系框架，除了管理体系建设、标准化流程管理、运营质量分析，还必须有基础设施支撑：

流量分析检测平台：通过专有扫描环境，灵活定制扫描规则，实现实时/周期记录、扫描多场景数据

代码扫描平台：IDE插件自助检测增量/全量代码，覆盖传统安全漏洞和合规治理检测规则

应用堆栈分析平台：结合行内APM监测工具的安全风险扫描平台，可检测传统安全漏洞和开源组件类风险扫描

开源软件安全治理：专项治理开源软件，实现组件漏洞应急响应、组件依赖分析及安全版本查询，推动行内架构和服务治理、统一组件开发和接入

…………

应用周期涉及的安全基础设施

流量分析检测

安全风险治理体系的建设非一朝一夕，也非一成不变，这里有一个基本思路可以参考：

遵循复盘优化、循环上升的思路，梳理出需求和目标， 协调安全、业务、研发、架构等部门的参与配合，管理治理联动，助力安全风险管控能力提升。

?发表于：中国 上海