可信研发运营安全能力成熟度水位图报告

一、整体概述

• 安全研发态势严峻：软件安全事件频发，漏洞影响深远，超过75%的安全攻击发生在代码应用层面，其中Web应用和软件漏洞占比超过73%。
• 安全左移成为业界常态：传统研发模式安全介入滞后，新型模式强调安全左移，在软件开发生命周期早期引入安全，降低成本和风险。
• 研发运营安全能力成为企业核心竞争力：安全左移有助于降低问题修复成本，提升交付效率，增强市场竞争力。
• 中国信通院建立研发运营安全标准体系：自2019年起牵头制定《可信研发运营安全能力成熟度模型》标准，并开展评估工作，已有30余家企业通过评估。

二、TSM可信研发运营安全能力成熟度水位图

• TSM水位图要素：分为体系、要求、设计、控制和数据5大领域17类子项，通过蛛网图展示企业安全能力成熟度。
• 企业安全体系建设短板：开源治理和安全数据管理平均得分最低，存在管理漏洞和数据分析不足的问题。
• 企业安全管理工作推进重点：自上而下推动安全工作，建立调度及协作流程，构建研发运营安全工具平台与工具链，进行数据反馈形成安全闭环。
• TSM水位图作用：帮助企业明确安全现状，完善改进计划，设立明确优先级，并进行持续改进。

三、TSM水位图子项活动详解

• 体系（System）：包括安全组织、制度流程、培训赋能、标准规范等方面，考察企业安全管理体系建设和人员安全能力。
• 要求（Requirements）：包括安全门限要求、身份与访问管理、安全审计、环境安全、变更升级和配置管理等方面，考察企业安全管理制度和流程的完善程度。
• 设计（Design）：包括安全需求分析、安全设计等方面，考察企业在设计和开发阶段考虑安全因素的程度。
• 控制（Control）：包括开源治理、安全编码、安全测试、安全发布、安全监控运营等方面，考察企业安全控制措施的落地情况。
• 数据（Data）：包括安全数据管理，考察企业对安全数据的收集、管理和利用能力。

四、下一步工作计划

• 完善TSM评估细节：进一步细化问题的定位，更精确地了解安全体系中的弱点和风险点。
• 优化报告内容：增加案例分析，引入更多图表和图形，更好地呈现数据和结论。
• 丰富行业数据：与业界合作，针对重点行业持续推动TSM评估，引入同行业其他企业的安全数据，进行比较分析。
• 建立用户反馈机制：加强与用户的沟通，收集用户意见和建议，持续改进和优化报告内容和形式。