案例名稱

面向商業銀行數字化轉型的敏捷開發安全管理系統

案例簡介

面向商業銀行數字化轉型的敏捷開發安全管理系統，結合軟件研發中心工作實際，將ISO27001信息安全管理體系和CMMI能力成熟度模型進行有效融合，形成具有特色的研發安全風險管理體系。將研發安全管控工作前移，保障在穩態和敏態雙模IT開發模式下系統的安全交付，實現安全管控策略在軟件研發過程中的落地。通過構建安全合規、安全需求、安全設計和安全測試知識庫，實現了安全需求分析、安全測試管理和安全評估流程及查詢統計分析功能，實現上線化、全流程的研發安全管理，大幅提升了研發安全管控效能。

創新技術/模式應用

1.ISO27001與CMMI3和ISO9000體系融合

在銀行業同業機構中軟件研發部門第一個獨立通過ISO27001信息安全體系認證。借鑒ISO27001成熟信息安全架構和實踐，結合軟件研發中心重點關注的安全開發過程和日常安全管理進行落地和深化，注重與行內已有的ISO9000、CMMI管理深度融合，結合軟件研發中心實際，針對性的建立研發層面安全管理框架，促進安全開發過程規劃化、標準化。將ISO27001信息安全管控策略深入融入到CMMI質量管理體系中，針對外包項目管理特點，注重管控外包項目安全風險，借助已運轉成熟的CMMI體系更好落地全流程研發安全管控要求。

圖1、質量管理體系與信息安全管理體系融合

2.信息科技外包風險管理全覆蓋

不斷強化外包風險管控，實現外包風險精細化管理。做好事前預防，對合作的外包商開展非現場專項檢查，實現檢查全覆蓋；對外包人員開展入場前安全培訓及考核，實現培訓考核全覆蓋。同時，強化外包項目風險管理，對外包項目開展風險評估，實現風險評估全覆蓋。

3.雙模IT全流程安全開發管控

優化了研發安全管控流程，將安全開發管理策略融入到開發流程中，通過自研的安全開發管理系統，實現統一線上化的全流程安全開發管控，便于收集統計安全開發管控效能指標，開展安全后評估工作，從而更好地地支持“穩態”和“敏態”雙模IT開發，在應用快速迭代的過程中保障內生安全。

圖2、應用系統開發安全管理總體流程圖

4.交叉驗證有效降低應用風險暴露

第三方安全測評具備更多的安全實戰經驗、各領域系統的安全測試經驗，以及具備多種安全測評資質，自主安全測試對我行應用系統更加了解，更加熟悉銀行業務，對金融系統安全測試方法技術更加熟練，充分發揮第三方安全測評與自主安全測試的優勢，實施重點工程的安全測試階段交叉驗證，實現了優勢互補，更好保障我行工程的安全質量。

5.建立常態化紅藍對抗安全攻防機制

推動上線前安全測試與上線后攻防演練模式有機結合，把已上線生產系統的版本部署到準生產環境中進行紅藍軍對抗演練，織密筑牢網絡安全防護屏障。通過常態化紅藍軍對抗演練，不斷挖掘并修復生產系統漏洞，同時推進產學研深度融合體系設計，提升安全人員攻防能力和水平，優化藍軍建設資源配置，激發創新潛能，助力安全藍軍建設高質量發展。

項目效果評估

1.課題緊密圍繞銀行數字化轉型過程中的面臨的研發安全風險控制體系、流程和工具使用問題，針對銀行項目研發相對依賴外包的風險現狀出發，從體系建設、流程優化和工具建設三方面來完善研發安全風險管理工作。

2.將ISO27001信息安全管理體系和ISO9000、CMMI體系進行有機融合，形成一套適應研發中心現狀的信息系統研發風險管控體系。優化系統研發風險管控流程，并自主研發安全開發管理系統，“穩態”和“敏態”雙模IT全流程安全開發管控，實現線上化全流程安全開發管控，提高研發安全管控效能。

3.不斷強化外包風險管控，在擴大外包風險管理覆蓋度的同時提升了精細化管理水平。

4.充分發揮第三方安全測評與自主安全測試的優勢，實施重點工程的安全測試階段交叉驗證，實現了優勢互補，更好保障我行工程的安全質量。

5.建立常態化紅藍軍對抗演練機制，同時推進產學研深度融合體系設計，提升安全人員攻防能力和水平。

責任編輯：韓希宇