3、移动时代的网络安全：SDL全流程解析

移动时代的网络安全：SDL全流程解析

1. 评估阶段

在新产品的定义阶段，SDL评估是其中的重要环节。隐私评估会考量产品是否会收集用户的个人信息，若收集，会明确收集信息的种类、用途，以及采用何种技术来防止信息泄露和滥用。不过，这里我们重点聚焦于SDL的安全方面。

基于产品的性质和特性，评估审查会确定在产品开发生命周期剩余阶段必须开展的SDL活动。一般而言，像TPM设备或加密引擎这类安全特性，需要进行全面的SDL审查，涵盖架构、设计、实现和部署等环节。而对于那些本身对安全不太敏感的功能，如英特尔的Quiet System Technology (QST)，可能只需进行部分SDL阶段的审查。通常，如果放弃架构和设计审查的风险较低，这两个环节可以跳过，但实现和部署审查几乎是所有功能都要进行的。

SDL活动	适用情况
全面审查（架构、设计、实现、部署）	安全特性（如TPM设备、加密引擎）
部分阶段审查	对安全不太敏感的功能（如QST）

2. 架构阶段

在架构阶段，产品的架构负责人会精心撰写一份详尽的架构描述，涵盖以下要点：
- 安全架构 ：包含产品的各个组件、每个组件的功能、内部和外部接口、依赖关系以及流程图等。产品的架构由其资产和功能需求驱动。