一、项目背景及目标

近年来，内外部网络威胁不断升级，网络安全形势日益严峻，国家和监管部门持续强化网络安全治理力度，银行业网络安全工作面临严峻挑战。一是随着数字化转型工作的快速推进，银行业务创新需求旺盛，应用数量快速增长，软件研发复杂度不断提高，但各着各类安全工具分散，存在研发环节的安全管控力度不足；二是以破坏我国关键信息基础设施的黑客组织攻击技术不断升级，利用金融系统漏洞获利的黑产团伙日益壮大，黑客攻击、系统停摆、信息外泄等安全事件频发，对银行业信息安全构成持续威胁；三是监管机构近年来要求银行机构加强分支机构网络安全管理，夯实分支机构网络安全责任落实，加强网络安全的监管审查和认证，加大违规处罚力度。

山东工行履行网络安全主体责任，积极打造面向软件研发全生命周期的安全管控平台，以研发过程中的安全需求分析、安全设计与编码、产品安全测试为核心，将软件研发全生命周期的安全过程管理融入本地研发体系，确保软件研发从需求分析、设计编码到测试上线的每一阶段，都紧密嵌入安全管理要求，让安全不再是研发的“补丁”，而是贯穿始终的“主线”，在保证软件版本快速交付的同时做到安全内建，实现研发安全管理统一化、运营标准化、知识体系化。

二、创新点

山东工行软件全生命周期闭环安全管理平台创新点有如下五个方面：

一是梳理应用等级，形成全量资产清单。对存量及新增软件进行安全条目分解、应用安全等级评定，辅助应用架构师根据应用的功能及业务场景，完成应用安全要素与风险梳理，形成应用安全风险梳理清单。

二是关注研发质量，降低应用安全风险。山东工行软件研发生命周期安全管理平台聚焦研发质量提升与应用安全风险防控，为架构师提供安全需求指引、设计建议、样例代码及测试案例，助力其完成安全设计与验证，赋能研发团队提前排查并修复隐患，进而缩短交付周期，降低安全风险。

三是安全管理左移，实现安全管理闭环。将安全活动与研发过程深度融合，以模型、平台、工具链三位一体的体系，为研发流程提供标准化、可落地的技术支撑，提前把控重点软件需求分解、安全及代码测试，推动安全规范有效落地，实现安全管理闭环，规避上线后出现漏洞返工，降低修复成本。

四是全栈信创赋能，稳固系统运行根基。本案例的技术架构采用全栈信创技术方案，应用代码管理于分行云开发者门户，采用流水线构建制品，并部署于分行云PaaS同步接入信创日志中心，持久化和多模块文件共享采用自研分布式文件系统，数据库适配国产数据库，运行时环境支持基于国产芯片和国产操作系统。

五是智能AI推荐，精准定位安全需求。融合深度学习与自然语言处理技术，构建安全需求智能推荐模型，对研发进行智能分析与深度挖掘，助力架构师精准识别安全要素，从多元维度出发，智能推荐适配的安全需求、设计方案及验证测试案例，实现安全需求的精准定位。

三、项目技术方案

山东工行深化DevSecOps理念，将安全要求嵌入研发流程，把安全工作贯穿至整个研发周期，构建软件全生命周期安全管理平台，提升软件需求、开发、测试等环节质量管控水平，实现安全与研发深度融合，平台架构图如下图所示:

构建安全知识库，利用文本挖掘技术，对工商银行内外安全规范、外部监管条例及金融行业最佳实践进行全面采集，利用自然语言处理和知识抽取技术，深入理解文本含义，将繁杂的原始数据转化为结构化、条目化的安全技术条目，覆盖安全需求、设计、代码、测试等方面，实现从高度人才依赖的专家知识，向计算机可解析执行的知识图谱的转化，最终沉淀为高可复用的数字安全资产。

安全需求分解智能化，对业务产品功能进行分析，深度依托安全知识库，对软件的安全性要求与安全规范、案例进行细粒度对比，平台从系统架构、数据处理流程、用户交互等维度分析软件安全目标，智能识别威胁、脆弱性及风险等级，并基于风险分析结果，采用规则引擎算法，从安全知识库智能筛选推荐适配的安全需求，为研发人员编写总体方案和技术方案，提供全面设计素材。

安全编码规范化，结合行内外安全规范、行业最佳实践，提炼出常用开发语言和开发平台在使用过程中应遵循的安全编码原则及常见的安全编码要求，涵盖编码规范指南、代码审查清单及组件漏洞库等标准化文档，形成一套完整且系统的安全编码标准体系，为工商银行软件研发团队在安全开发过程中提供全面、准确的技术指引。

安全测试自动化，运用工作流建模技术，将安全测试流程拆解为原子操作，结合软件系统架构与业务逻辑，按特定顺序及依赖关系编排，保证覆盖各功能模块与数据交互路径，为测试人员供测试需要的测试条件、测试步骤、预期结果。同时，安全管理平台嵌入源代码扫描、开源组件扫描等安全工具，在软件开发中和软件发版前，由平台内置的自动化任务调度系统，灵活设定时间规则、管理任务优先级，依据预设测试计划，在不同时间节点自动多次调用测试工具，运用静态代码分析技术，对代码进行深度扫描，识别代码中的缺陷和安全漏洞。

软件发版闭环管理，平台对扫描及测试结果进行量化分析，将扫描结果以结构化漏洞报告呈现，并将测试结果作为发版前的必要流程，当明确判定结果中不存在高风险漏洞，且安全测试完全契合预先设定的验收标准、所有测试项均顺利通过时，触发后续的软件发版流程，实现完整闭环管理。

应用安全成熟度评价，建立应用安全成熟度评价模型，从安全设计、研发质量、资产管理、检测预警、应急处置、内外部检查方面开展应用评估，量化应用安全等级，并根据应用安全薄弱项指定提升计划，以评促建，推动应用安全提升。

四、项目过程管理

根据项目建设目标和要求，项目采用增量型开发方法。在通过立项后，项目经理组织项目重要干系人、应用架构师、技术架构师参与需求会议和需求访谈，充分收集并定义需求，形成需求跟踪矩阵和范围基准。

基于工作分解结构，项目团体梳理项目活动，制定了项目进度计划，确定了分四个里程碑阶段逐步上线。

第一阶段持续2个月，基于国芯服务器和国产操作系统，主要实现软件版本发布的自动化检测与风险提示功能；

第二阶段持续5个月，持续提升漏洞扫描和软件依赖的识别和监测水平，并建设增加代码白盒扫描和风险治理能力；

第三阶段持续1个月，主要建设安全知识库，为将来对接安全分析智能体提供数据基础；

第四阶段持续2个月，主要实现自动化安全测试及安全需求智能分解功能，实现安全左移和闭环收尾。

五、运营情况

软件全生命周期闭环安全管理平台系统可用率达99.97%，服务省内科技条线1200余位开发人员和安全管理人员；

支撑336个应用安全监测和管理，日均代码分析200余次、漏洞扫描100余次；

平均每个项目自动分解安全需求3项并闭环管理，累计扫描并报告高危漏洞225个、代码风险5000余个，完成400余项安全需求的闭环管理。

六、项目成效

山东工行软件全生命周期闭环安全管理平台深度融合安全策略与研发流程，将安全控制节点无缝嵌入到软件开发的各个阶段，业务系统的安全性和有效交付率得到显著提升。在技术层面，有效防范数据泄露、恶意攻击、漏洞利用等安全威胁，提高系统的稳定性；在管理层面，优化安全管理流程，实现研发过程安全的硬控制。基于已有项目分析，预计每年可以节省30余人天、完成480个以上需求的闭环管理，自动化实施300余个项目的源代码扫描，开发过程中应用安全漏洞平均数降为个位数，单个漏洞修复周期从7人天降至1人天。

七、经验总结

山东工行软件全生命周期闭环安全管理平台建设经验总结如下：

1、标准化流程构建。山东工行将安全活动融入系统研发流程，创建了一套标准化安全研发流程。从需求分析阶段即嵌入安全需求评审机制，在设计、编码、测试等环节都有明确的安全工具和规范要点，构建严谨、高效且安全的研发流程。

2、高效迭代开发。借助山东工行软件研发生命周期安全管理平台，能够在软件研发前期阶段快速定位和修复开发过程中的问题，减少因安全漏洞引发的返工情况，研发团队可以专注于功能迭代和优化，实现软件产品的高效更新，缩短开发周期，提升产品的市场竞争力。

3、研发安全水平提升。平台搭建内置安全专家知识库，建立从安全需求分析、软件设计、安全编码、产品测试等应用安全研发全流程的安全体系，可以提高整体研发人员安全意识与安全技术水平，每一个安全需求都有对应的实现和检测方法，降低安全任务对个人经验和技能的依赖，从代码源头提高应用系统安全水平，有效提升应用安全开发能力。

4、新技术创新应用。在软件研发生命周期安全管理平台建设过程中，山东工行运用自然语言处理、大模型等技术，高效解析海量非结构化安全需求文档，快速提炼关键信息，生成精准测试条件与步骤，较传统方式大幅提升效率与准确性。平台可辅助应用安全成熟度评估，智能分析安全要素，助力定位薄弱环节，制定有效提升策略。