17、网络安全综合指南

网络安全综合指南

1. 安全倡导者（Security Champions）

1.1 什么是安全倡导者

安全倡导者通常是开发团队中的志愿者，他们可能是软件工程师、软件架构师、QA 工程师或 DevOps 工程师。他们坐在开发团队中很重要，因为这使他们能够轻松地在开发和安全之间进行联络，并成为安全的代言人。虽然不期望安全倡导者成为网络安全所有方面的主题专家，但他们应该有足够的知识来回答基本问题，并作为网络安全和开发团队之间的桥梁。

1.2 公司为何需要安全倡导者

安全倡导者是扩大网络安全组织倡议和在开发团队中建立强大安全文化的重要组成部分。有了嵌入开发团队的安全倡导者，可以确保系统和应用程序从一开始就将安全作为最小可行产品的一个特性来构建。安全倡导者可以领导威胁建模活动、分享知识，并在考虑安全的情况下帮助做出决策。

1.3 安全倡导者的职责

• 威胁建模 ：与开发团队一起进行威胁建模活动，识别和沟通威胁以及安全对策，同时考虑应用程序或系统的业务案例、监管和安全要求。
• 代码质量提升 ：确保在整个软件开发生命周期（SDLC）中完成静态/交互式/动态应用程序安全测试（SAST/IAST/DAST）以及开源软件成分分析活动。对于有紧迫时间表的敏捷开发团队来说，在整个 SDLC 中完成代码扫描活动尤为重要，这样开发人员可以在代码推送后立即解决漏洞。
• 沟通桥梁 ：作为开发和网络安全团队之间的双向沟通渠道。定期举行网络安全知识分享会，讨论新项目、最新的安全漏