一、项目背景及目标

随着金融行业数字化转型加速，软件开发模式向DevOps和敏捷研发演进，安全风险日益成为制约业务交付效率与质量的关键因素。传统安全检测模式分散于不同工具和阶段，检测结果割裂、流程人工干预多、漏洞闭环效率低，难以满足快速迭代与复杂业务场景的安全保障需求。行业普遍认识到，安全必须从开发初期即融入（“安全左移”），并贯穿全生命周期。

当前，DevSecOps理念已成为业界共识，强调开发、安全、运维的深度融合与自动化协作。然而，多数机构仍缺乏统一的安全管理平台，存在以下痛点：安全工具各自为战，检测结果无法归集去重；安全流程与研发管理平台（如科技管理系统）脱节，卡点依赖人工传递；漏洞处理缺乏多维度聚合与可追溯记录；自动化扫描与通知能力不足，影响响应效率。因此，市场迫切需要一套与现有科技管理系统、DevOps流水线深度集成的安全一体化平台，实现安全能力的标准化、自动化和可视化。

1.项目立项背景

本行已部署威胁建模系统、开源扫描工具（SCA）、源代码审计工具（SAST）等安全检测能力，并拥有成熟的科技管理系统作为研发管理核心。然而，当前安全工具与科技管理系统之间未形成有效联动，安全任务需人工创建与跟进，检测结果分散在各工具中，漏洞修复状态无法闭环同步至项目管理流程。同时，安全流程尚未在科技管理系统的开发流程中建立强制性卡点，威胁建模、安全知识库等能力未充分嵌入日常研发环节。

为此，本项目拟在现有科技管理系统基础上进行二次开发改造，并对威胁建模平台进行扩展开发，构建符合DevSecOps理念的安全一体化平台。项目将遵循“全流程安全融入、自动化协作、持续改进”的核心原则，打通科技管理系统、DevOps流水线、Git代码仓库及各安全工具之间的数据与流程壁垒，实现安全能力的统一调度、结果汇总与闭环管理，降低人工操作成本，提升整体开发安全成熟度。

2.项目目标简介

本项目旨在建成一个安全一体化平台，实现以下核心目标：

1、自动化工具链集成：对接SCA、SAST等安全工具，对同一项目需求或任务批量发起检测，自动绑定Git代码仓库。检测任务基本信息推送至安全工具，自动化创建任务并执行检测，多工具结果汇总合并生成统一报告，同时支持单工具结果独立导出。

2、平台深度对接与数据同步：完成资产梳理、系统梳理、代码仓库呈现，将需求、任务、漏洞等数据推送至科技管理系统；对接行内现有流程，将安全扫描任务嵌入流程节点，实现安全联动。

3、漏洞综合管理能力：支持以漏洞名称、位置、类型及关联资产为维度的多维度聚合展示；支持按需求、任务、资产、仓库等组合查询；提供完整的漏洞处理流程（位置、修复建议、描述及状态）。

4、制度流程规范与自动化提升：依据现有科技管理平台开发流程，扩充威胁建模、漏洞知识库、安全工具，建立安全卡点，简化人工操作。通过API提升自动化扫描与报表汇总能力，任务触发、结束及成果汇总通过企业微信消息接口实时通知，实现任务全流程自动化提醒。

通过上述目标的实现，平台将显著提升开发安全效率、漏洞闭环率及合规水平，为行内软件交付的安全性与稳定性提供坚实保障。

二、创新点

1.安全左移与流程嵌入式治理：将威胁建模、安全需求生成、安全设计推荐等环节前置到项目初期，并在科技管理平台现有开发流程中建立强制性安全卡点（如评审），实现安全与研发流程的深度融合，而非后期补丁式修复。

2.多工具结果统一聚合与智能去重：集成SCA、SAST等多种安全检测工具，对同一需求或任务的检测结果进行汇总合并、去重与漏洞的白名单管理，生成统一报告，同时支持单工具结果独立导出，解决工具割裂与重复告警问题。

3.自动化流程编排与企业微信全流程通知：通过动态流程分级管控（高风险/中风险/低风险采用不同默认工具集），实现检测任务的自动触发、执行与结果汇总；流程过程及成果汇总均通过企业微信消息接口实时通知，大幅减少人工干预。

4.双向数据同步与资产可视化：完成资产、系统、代码仓库的自动梳理与呈现，与科技管理系统双向同步项目、需求、任务及漏洞状态，打通研发管理、代码托管与安全检测的数据孤岛。

系统架构图：

1、平台采用前后端分离的微服务架构，保证高内聚、低耦合，便于扩展和集成。

2、网关层：统一入口，处理认证、鉴权、路由转发和跨域问题。

3、应用服务层：按业务域拆分为多个微服务，每个服务独立负责一块业务逻辑，如项目管理、需求管理、测试管理、漏洞管理等。

4、外部系统集成：通过API或文件方式与行内现有各系统（科管、安全工具等）对接。

三、项目技术方案

1.项目建设方案

充分利旧，对现有威胁建模管理平台进行二次开发。满足：集成安全工具链，实现威胁建模平台、漏洞管理平台、第三方开源软件管理工具、源代码安全审计工具、交互式应用安全测试工具一站式管理，从软件需求阶段开始，对整个研发过程各关键阶段进行安全检测与管控，以提升软件产品的安全性。整个系统对接DevOps平台和科技管理平台，支持数据双向同步，实现流程对接。

2.业务流程方案

项目初始化：项目信息从科管平台同步至本平台。

需求与设计阶段：通过智能化问卷进行威胁建模，生成或手动选择安全需求，并进行安全设计评审。

开发与测试阶段：平台根据安全需求自动或手动调度安全工具进行扫描。

漏洞管理阶段：平台聚合各工具漏洞，推送到科管平台生成修复工单，跟踪直至闭环。

度量与改进：全过程数据被记录和分析，用于生成报表和优化体系。

3.项目规划

阶段一（基础集成）：扩充威胁建模平台，支持问卷式建模与业务场景匹配，自动生成安全需求、设计及测试用例；完成科技管理系统改造，集成SCA、SAST工具，实现任务触发与结果回传。

阶段二（流程扩展）：建立安全卡点与动态流程配置。检测工具对接Git代码仓库，实现项目，资产，漏洞多维度数据同步与数据可视化。

阶段三（漏洞管理与自动化）：实现多源漏洞去重、聚合展示、审批闭环及白名单配置；对接企业微信消息接口，实现全流程自动提醒。

阶段四（优化与推广）：完善报表汇总能力，推广至全行项目组，持续优化策略与规则。

4.技术架构

后端框架：基于 Spring Boot + MyBatis 技术栈开发，集成工作流引擎实现业务流程自动化审批，采用分层架构设计，接口规范、扩展性强。

前端展示：Vue3 + Vite + element-plus，提供动态流程画布、漏洞聚合卡片等可视化组件。

数据存储：TDSQL（业务数据）。

工具集成：通过统一适配对接SCA、SAST等工具，支持HTTP/HTTPS及API Token认证。

消息通知：企业微信API 实现通知与可靠性投递。

部署方式：信创环境（海光X86、银河麒麟V10-SP2、OPEN JDK）

5.业务模式

作为内部平台不对外创收，提供开发安全全流程管理服务，减少安全事件、降低安全漏洞引入风险、缩短修复周期、提升交付质量，间接产生显著经济效益，提升合规审计效率。

等

四、运营情况

1.推广应用

本平台已在行内科技管理系统基础上完成改造与扩展，覆盖核心业务系统、一般业务系统共计数十个项目。所有新建需求任务均强制接入平台进行威胁建模与安全检测，安全卡点纳入版本发布准入条件。

2.系统运行情况

平台上线后，运行半年时间，累计发起安全检测任务千余次，聚合漏洞报告数百份，自动化任务占比超过90%。企业微信通知平均延迟小于3秒，系统可用性达到99.9%。漏洞平均修复周期从原来的7天缩短至3天以内。

3.用户反馈

开发人员认为威胁建模自动生成安全需求及测试用例大幅降低了安全知识门槛；安全人员认可漏洞多维度聚合与白名单配置提升了审计效率；管理层对全流程可视化报表与门禁机制给予积极评价。

五、项目成效

1.经济效益

降低人工成本：自动化工具链集成与任务触发节省了约60%的安全检测人工协调工作量；自动汇总报告减少报告整理时间约80%。

减少安全事件损失：通过前置发现并修复漏洞，避免因安全缺陷导致的投产回退、数据泄露等潜在损失，预计每年规避风险损失数百万元。

提升交付效率：安全卡点与自动化通知使版本发布周期平均缩短2~3天，支撑业务快速迭代。

2.社会效益

提升行业安全水位：平台的建设经验可输出至同业，推动DevSecOps理念在行内的落地实践，达到江苏省内领先水平。

增强合规能力：满足等级保护、金融监管局等监管要求，提供完整的审计日志与安全流程记录，降低合规风险。

培养安全文化：通过知识库与自动生成安全需求、安全设计，提升开发人员的安全编码意识，形成“安全人人有责”的组织氛围。

六、经验总结

1.安全必须嵌入已有流程，而非另起炉灶：依托科技管理系统进行改造，而非新建孤岛平台，显著降低了推广阻力与用户学习成本。安全卡点应轻量化，避免过度阻塞交付。

2.自动化是提升采纳率的关键：任务自动触发、结果自动汇总、消息自动通知，极大减少了人员操作，使安全成为“无感”的支撑能力而非负担。

3.工具集成需标准化与可配置：通过适配统一接口规范，支持不同工具的快速接入；动态流程分级管控使不同风险等级的项目采用合适的检测策略，避免资源浪费。

4.漏洞管理要兼顾聚合与细节：多维度聚合展示帮助快速定位高频问题，白名单与去重减少噪音；同时保留完整的处理流程记录，满足审计与追溯需求。

5.重视用户培训与知识转移：配合平台上线开展多轮培训，制作操作手册与常见问题库，确保各角色人员能够熟练使用，最大化发挥平台价值。