22、应用开发中的风险管理与应对策略

应用开发中的风险管理与应对策略

1. 风险应对策略概述

在应用开发过程中，组织面临各种风险，需要采取不同的策略来应对。主要的风险应对策略有以下几种：
- 减轻（Mitigate） ：当组织因使用第三方组件出现关键漏洞且无法升级到最新版本时，可借助 Web 应用防火墙（WAF）或运行时应用安全保护（RASP）来提供运行时保护，直至组件能够升级。
- 转移（Transfer） ：通常是指购买网络安全保险，让其他实体承担风险。例如，组织为容纳其基础设施或员工的财产购买灾难保险。
- 接受（Accept） ：当发现关键风险且没有明确的解决途径时，组织可能不得不接受风险，并加速淘汰引发风险的技术，最终通过避免风险来解决问题。
- 避免（Avoid） ：通过不参与或停止可能导致风险的活动来避免风险。

组织选择哪种策略很大程度上取决于其风险偏好。在某些情况下，组织可能会被迫选择某一种策略。

2. 风险的定义与降低

2.1 风险的确定

风险在 OWASP 风险评级中由可能性和影响共同决定。例如，若发现因管理员凭证暴露导致未经授权访问敏感信息的风险，组织需要评估该问题发生的可能性以及攻击者获取敏感数据后的后果。在这种情况下，可能性可能较低，但影响可能很大。

2.2 风险识别对开发团队的影响

组织在宏观层面有多种应对风险的选择，但在开发团队中，实际对风险进行优先级排序和处理则有所不同。并非所有风险都是相同的，同一风险对组