揭晓：网络行业如何通过设计定义安全

越来越明显的是，公司必须将 Secure by Design 原则嵌入到其产品开发流程中——这不仅是为了合规性，也是作为一项关键业务要求。这些指导方针已制定，供公司在将产品推向市场之前识别和缓解其产品中可利用的缺陷。将这些指导方针视为基础支柱，而不仅仅是附加组件的组织根据这些原则构建的产品往往在这个竞争日益激烈的市场中保持领先地位。

但是，自从美国政府的网络安全与基础设施安全局（CISA）发布已有两年了 “通过设计确保安全” 指南，实际上，现实世界的实施仍然是我们难以解决的全行业难题。我们都知道这些原则很重要，但是我们如何才能有效地大规模实施这些原则呢？

在我们最新的白皮书中，我们的联合创始人彼得·丹希厄和马蒂亚斯·马杜博士与包括首席信息安全官、AppSec领导人和安全专业人员在内的二十多位企业安全领导者坐了下来，找出了这个难题的关键部分，揭示了安全由设计运动背后的现实。这是安全团队的共同抱负，但没有共同的策略。

了解一些主要发现：

• 大多数安全从业者和商业领袖都认同 “通过设计实现安全” 计划的理念和价值；但是，从某种意义上说，它仍然有待解释，而且没有标准的全行业实施方法。

• 威胁建模不仅仅是合规清单中需要勾选的东西，它是一种至关重要的、一致的做法，可以帮助精通安全的开发人员及其AppSec同行在风险成为漏洞之前保持领先地位。

• 人工智能这把双刃剑——人工智能既是一项突破，也是一种强大的安全风险，它极大地扩大了攻击面。它的爆炸性增长带来了快速变化的风险，而非熟练的开发人员和资源不足的 AppSec 团队往往难以缓解这些风险。

问题不在于对应用安全设计原则的重要性缺乏理解——如果有的话，对安全软件的需求已成为基本需求和基准期望。缺少的是一个协调的、可扩展的策略，将这些原则嵌入到整个软件开发生命周期中。

我们似乎也缺乏明确的基准或可衡量的结果来确定成功推出。没有这些，团队只能猜测他们的努力是否真正产生了影响。目前，我们似乎有一个统一的战线，但没有共同的战略。

“通过设计确保安全” 是必不可少且不可避免的，而不仅仅是高合规性行业。还必须赋予开发人员权力，而不是增加负担。如果掌握了正确的技能、工具和支持，他们天生就不只是建设者，而是捍卫者，将安全嵌入到最重要的地方：源头。

立即下载 并了解您的团队如何利用强大的开发人员风险管理策略和精确度量来推动企业内部成功、统一的 Secure by Design 计划。