11、云原生环境下应用安全计划构建全解析

云原生环境下应用安全计划构建全解析

1. 评估合规要求和法规

随着企业向云原生环境迁移并采用新技术，会面临新的合规要求和法规。不遵守这些规定可能导致重大的财务和声誉损失，以及法律处罚。因此，企业需要评估这些要求和法规，并将其纳入应用安全（AppSec）计划。

1.1 安全服务级别协议（SLAs）

评估合规要求的第一步是确定适合企业的安全 SLAs。这需要了解企业所需的安全级别，并确保采取适当措施来满足这些要求。

SLAs 应根据具体指标来定义，如安全事件响应时间或因安全事件导致的停机时间。这些指标应可衡量，并跟踪其进展，以确保企业达到 SLAs。

在云原生 AppSec 计划中，SLAs 定义了客户在安全方面可期望的最低服务水平，包括安全事件响应时间、安全资源可用性以及确保数据隐私和机密性的措施。

SLAs 在云原生 AppSec 计划中至关重要，原因如下：
- 明确服务提供商的安全服务和保证，使各方对各自的责任和承诺有共同理解。
- 提供跟踪和报告安全计划绩效的机制，有助于持续优化安全以满足业务需求和应对新兴威胁。
- 在获得安全认证（如 FedRAMP）方面发挥关键作用，帮助企业证明其提供安全云服务的承诺。

定义云原生 AppSec 计划的 SLAs 时，需考虑以下关键因素：
| 考虑因素 | 说明 |
| ---- | ---- |
| 安全指标 | 定义要跟踪和测量的具体安全指标，如事件响应时间、漏洞修复时间和数据隐私控制。 |
| 性能目标 | 为每个安全指标定义服务提供商应达到的最低性能目标，基于行业最佳实践、法规要