DevSecOps示范 | 世界500强企业如何建设软件开发安全体系

某世界500强企业旗下拥有众多知名汽车品牌，业务涵盖出行服务、科技创新、金融服务、教育等。该集团一直专注于技术创新和人才培养，同时也是国内第一批倡议并践行“数字化转型”的汽车行业企业。

数智化建设转型，研发安全体系建设势在必行

在双循环、智能网联化、产业升级背景下，汽车行业逐步进入“软件定义汽车时代”。此时，人、机器、数据、网络紧密结合在一起，应用软件的可靠性及安全性不言而喻。在此背景下，该集团制定了一系列IT软件安全开发规范，并在上线前进行严格审查。但随着企业积极深化数智化转型，软件应用数量成倍增多，对软件开发安全管理带来诸多挑战，构建深层次的软件安全开发体系势在必行。

经过全方面诊断，该集团面临如下挑战：

外部

1. 国内外对汽车行业安全监管日趋严格、合规压力大、

近年来，国内外针对智能网联车的各类安全监管主体不断增多，相关法律密集出台、要求逐渐变细、标准规范越来越严、更新速度不断加快，如国内的《网络安全法》、《等保》，欧盟出台的《通用数据保护条例》、《网络安全管理体系（CSMS）认证》、ISO/SAE21434等要求。

2. 安全事件频发

对于汽车行业，由于软件问题而引发的汽车召回、停用甚至停售，已是任何车企难以承受的巨大损失。而一旦涉及到人身安全，舆论所带来的影响对车企而言可能是毁灭性的冲击。近年来，国外内汽车事件频发，引发了企业高层及安全团队进一步的重视。

内部

1. 业务高频迭代，安全测试滞后，漏洞修复成本高

仅在上线前进行安全测试，应用系统从提测到漏洞修复验证，直至达到企业上线要求，整个周期很长，交付时效性及软件质量难以平衡，严重影响业务推进及市场规划。

2. 缺乏开发安全体系及流程监控

企业结合国家及行业要求，已制定了开发安全相关的制度及要求，但在实施过程中，各种必要的安全流程、技术手段、安全策略缺乏体系化的过程管控机制，且难以通过数字化指标来度量及优化落地效果。

3. 软件开发过程与安全活动流程割裂

该集团引入了一些开源及商采的安全测试工具，但未与现有开发流程紧密整合，使得整个devsecops链条中，平台分散、工具利用率不高，多部门多角色协作低效。

4. 安全测试自动化不足

在自身 DevOps 开发流程中，无法做到安全与业务效率的平衡，涉及多种测试工具及复杂测试流程，不仅需要耗费大量人力和时间，而且对安全测试人员的能力水平要求较高，过多的人工参与，会导致整体上很难保证标准化及流程的一致性。

技术赋能开发安全体系创新实践，打造DevSecOps示范标杆

通过深入现场调研，结合企业内部情况，该集团与开源网安共同构建了符合企业现状及未来发展的建设方案。该方案以SDL及DevSecOps为核心理念的新一代软件安全体系来综合解决上述问题，把安全融入到开发过程，并且实现彻底的安全左移，从源头降低开发安全成本，实施开发安全过程管控，落实企业规范及要求，提升应用质量。业务架构如下图所示。

1. 建立从安全检测、风险发现到漏洞处置的统一管理能力

基于自身痛点，该集团引入开源网安开发安全管控平台，并且整合 SAST、VulHunter（开源网安灰盒安全测试平台）、SourceCheck（开源组件安全及合规管理平台）、StackRox 等安全测试工具链，一方面可以通过平台内置的编排引擎主动、批量对任意资产应用调起安全检测，另一方面对接企业的DevOps平台，在不改变原有开发模式的前提下，随日常工作自动化发起安全检测，最终将检测结果汇聚到一体化平台中，实现对漏洞风险的跟踪、处置、溯源以及预警等精细化管理能力，解决工具利用率低、数据分散的问题。

2. 无缝嵌入现有开发流程，实现安全要求平台化

开源网安提供的开发安全管控平台与集团现有的测试管理系统、统一用户权限系统集成对接，通过内置的安全知识库及轻量化威胁建模插件，自动化生成安全需求，以及安全设计、安全研发、安全测试等各个阶段的安全任务及要求，管理人员可以及时跟踪、记录、管理安全要求的提出、实现、验证、完成情况，解决流程难以管控的问题。

3. 建立合规管理及持续安全运营能力

平台内置应用安全画像问卷，通过评估建设系统的等保要求及数据安全等级，自动化关联内置的安全防护要求及预警策略，并且通过漏洞复现及修复建议、业内最佳实践等安全知识、结合开展相应的安全培训，不断提升业务部门及研发人员的安全能力及安全意识，解决同类型漏洞反复出现的问题。

该集团通过平台化落实企业开发安全体系，满足了内外部合规监管要求，实现从需求设计、编码测试到上线的全生命周期安全活动管控，并持续优化形成集团内部开发安全最佳实践。运行一年，该集团已有近千个系统在平台中实现集中管理，安全测试覆盖率达70%，漏洞修复时效提升近60%，在业务上线前消减90%以上的中高危漏洞。

未来，开源网安将坚持以市场化最佳实践及技术产品创新，为中国数字化转型之路打造数据与信息安全防御体系，携手各行业客户解答数字时代和业务发展提出的信息及数据安全问题，为汽车行业的不同应用场景提供“中国方案”，提高防范和化解软件供应链安全风险的能力，助力常态化、体系化软件供应链安全治理及开发安全及合规体系的建设。

开源网安开发安全管控平台（ASOC平台）是基于软件供应链安全及应用安全现状，推出的新一代兼顾开发效率与安全运营的解决方案，是DevSecOps及SDL理念优势结合的最佳实践，致力于解决数字化时代提出的应用安全及合规需求。提供从需求、设计、研发、测试到运营等软件全生命周期的开发安全活动、流程、数据及devsecops工具链的统一管理能力，致力于提升企业应用安全质量、满足合规需求、构建企业级开发安全管理体系及持续安全运营能力。

推荐阅读

吉利汽车：S-SDLC融入开发体系，推动智能汽车安全发展

某大型车企：加强汽车应用安全防护，开创智能网联汽车新篇章