浅谈DevSecOps安全测试探索实践与思考

lsekfe

背景
　　DevSecOps是伴随DevOps标准体系的建设而延展出的一种全新的安全理念与模式。
　　在DevSecOps标准要求下，安全是整个团队每个人的责任，需要贯穿业务从开发到运维全生命周期的每一个环节。
　　它强调的是安全测试左移，从需求设计初期就尽早的将安全考虑在内，从源头处提升安全能力，这样能更有效、更低成本地解决目前面临的安全问题，全面提升应用服务的整体安全能力，助推数字化转型。
　　DevSecOps二级标准要求
　　DevSecOps标准属于DevOps标准体系中安全及风险管理能力域的要求内容，涵盖了通用、开发、交付、运营4个能力子域，细分了17个能力项。
　　二级贯标实施主要针对通用、开发、交付3个能力子域共9个能力项，其中涉及测试的标准要求主要包括开发、交付2个能力子域中的需求管理和测试管理2个能力项。
　　具体要求如下：

DevSecOps标准中涉及测试的能力项

　　安全测试探索与实践
　　在贯标测试实施过程中，结合现有的项目过程管理要求和项目原有的测试方法，按照贯标要求进行了补充和完善，总结出以下几个工作要点和方法：
　　安全左移，测试左移
　　在项目需求研制阶段，测试人员参与需求研制和评审，按照前期积累总结的领域级安全控制要点，按清单逐项检查安全需求中的各个条目，从需求源头保证其完整正确。同时，提前开展测试分析，在评审确定安全需求的过程中，同步讨论分析测试场景，形成测试方案，通过测试左移确保测试分析准确高效。

安全需求检查示例

测试场景及方案示例