18、人人有责的安全保障：应用安全团队的挑战与应对

人人有责的安全保障：应用安全团队的挑战与应对

1. 安全是每个人的问题

安全一直被强调是每个人的问题，但它真正意味着什么呢？以家庭为例，家庭安全不应只依赖一人每天检查门窗是否锁好、警报是否开启等，而应是每个家庭成员的责任。比如烟雾报警器没电发出声响时，大家都能参与解决问题。

在组织中也是如此，安全团队虽负责管理安全工具和流程，但他们无法全面了解组织的所有领域。而且组织不断推出新功能，应用安全团队往往在新功能即将发布时才知晓，此时再做出反应就太晚了，更多的是在降低或接受已识别的风险，而非在设计初期就融入安全。

组织若要构建安全文化，就能增强应用安全团队的力量，编写出更安全的代码。不过，这需要应用安全团队建立起相应的框架、流程、工具和教育体系，助力开发团队达到安全标准。

1.1 应用安全团队的结构

要招聘到满足组织所有需求的应用安全团队资源极为困难。尽管各团队结构和需求不同，但大多数应用安全团队提供以下核心功能：
- 威胁建模和风险评估
- 渗透测试
- 实施扫描工具
- 对发现的漏洞进行分类
- 代码和架构审查
- DevSecOps 和自动化支持
- 安全教育和推广
- 文档、白皮书、标准和需求开发

日常工作中，团队成员以这些任务为核心，但也会有其他临时工作，如为组织的设计和战略提供咨询。很难找到能胜任所有或多项核心功能的“全能”应用安全人员，所以团队需招聘在核心领域有专注技能的人员。常见的应用安全角色及职责如下表所示：
| 角色 | 职责 |
| ---- | ---- |
| 安全架构师 | 在组织战略层