26、应用安全规划：从现状评估到目标对齐

应用安全规划：从现状评估到目标对齐

1. 获取当前安全态势

在评估组织的安全状况时，快速浏览图表能展示整体的暴露情况。例如，通过一个基本图表可以查看不同严重程度的漏洞及其修复时间，如下表所示：
| 修复时间 | 关键 | 高 | 中 | 低 |
| — | — | — | — | — |
| >365 天 | 0 | 3 | 5 | 3 |
| 60 - 90 天 | 0 | 0 | 3 | 7 |
| 30 - 60 天 | 1 | 5 | 4 | 15 |
| 0 - 30 天 | 1 | 7 | 6 | 12 |

不过，要了解组织内特定产品的情况，还需使用单独的图表按严重程度细分产品及其未修复的漏洞，示例如下：
| 产品 | 关键 | 高 | 中 | 低 |
| — | — | — | — | — |
| Stuff - For - You | 1 | 5 | 4 | 13 |
| Stuff - For - Me | 0 | 5 | 12 | 13 |
| Things - You - Need | 1 | 5 | 2 | 14 |

应用安全团队可根据这些数据与各产品的工程团队合作，重点修复特定产品的漏洞。同时，这些数据在向高层领导汇报时也有助于确定产品优先级，特别是那些漏洞数量多或存在关键、高危漏洞的产品。

2. 可用的额外信息

在领导应用安全工作时，信息和人脉是两大有力资源。定位影响安全架构和标准的政策，有助于规划未来的安全计划。通常，政策由组织的治理、风险和合规（GRC）或信息安全团队负责。政策的制定一般从战