敏捷開發大行其道，安恒信息的軟件安全管理實踐

張帥

“軟件正在吞噬整個世界。”

隨著信息化和數據化程度的加深以及企業之間的競爭加劇，這個經典論斷正在兌現。軟件成為現代企業商業成功的核心所在，新的挑戰同時浮現——軟件敏捷開發模式下，傳統安全保障方案受限頗多，如何兼顧效率與安全？

基于敏捷開發場景下的安全管理解決方案成為企業的首選。

安恒信息安全管理平臺具備自動化多工具上線安全檢測的能力，既避免了完全依賴于人工水平出現難以管控的情況，又能充分發揮專業安全人員的價值，保障了系統在開發階段的安全性。

上海某金融企業業務開發上線較為頻繁，存在上線前安全測試壓力大、整改修復周期短、開發人員對漏洞風險的修復缺乏專業認識等問題，遂決定采用基于敏捷開發場景下的安全管理解決方案。

基于安恒信息安全管理解決方案，該項目上線后，在需求階段通過輕量化的威脅建模分析平臺形成了針對業務功能的安全要求、設計要求以及相對應的測試要求，并將這些要求結合到軟件需求說明書、軟件測試用例清單中，用于指導相關人員研發安全的軟件。

同時其還引入了包括源代碼檢測、Web及APP應用安全檢測、第三方組件檢測等各類黑盒與白盒的安全檢測工具，可自動對研發過程中的相關產物進行安全驗證，對于工具無法檢測的安全要求則由人工測試完成閉環。

《計算機世界》記者了解到，安恒信息后續將從三個維度將對安全管理平臺功能進行升級：

其一是提供安全管理平臺的可接入性和可擴展性，在安全檢測階段增加對插件化的支持，便于插件化對接自動化掃描工具，以應對各類靈活開發的項目，增強平臺對各類主流工具的兼容性，提高個性化需求及自動化檢測能力;

其二是進一步深化威脅建模能力，增加安全需求設計、安全性要求對接功能，以保證項目初期的安全需求及設計符合安全性要求，減少后期開發成本;

其三是進一步深入研發日常工作，與一些通用的集成開發環境例如IDEA聯動，提供安全的開發環境及第三方組件，以方便研發人員使用等。