揭秘：网络安全行业如何定义“安全设计”

越来越明显的是，企业必须将“安全设计”原则融入产品开发流程中——这不仅是为了合规，更是关键的业务需求。企业应遵循相关准则，在产品投放市场前识别并缓解其中的可利用漏洞。对于那些将这些准则视为基石而非附加项的组织而言，按照这些原则构建的产品往往能在日益激烈的市场竞争中保持领先。

然而，自美国网络安全与基础设施安全局（CISA）发布“安全设计”准则至今已过去两年，如何在现实中落地实施仍是整个行业亟待解决的难题。我们都深知这些原则的重要性，但该如何大规模地有效实施呢？

在我们的最新白皮书中，我们的联合创始人 Pieter Danhieux 和 Matias Madou 博士与 20 多位企业安全领导者（包括 CISO、应用安全负责人及安全专业人士）进行了深入探讨，旨在理清这一难题的关键要素，并揭示“安全设计”运动背后的真相。这是安全团队共同的愿景，但目前尚无通用的行动指南。

探索部分核心发现：

• 大多数安全从业者和企业领导者都认同“安全设计”倡议的理念与价值；然而，它在某种程度上仍有待解读，且行业内尚未形成统一的实施方法。

• 威胁建模不仅仅是合规清单上的一个勾选项，它是一项关键且持续的实践，能帮助具备安全意识的开发人员及其应用安全同行在风险演变为漏洞之前就将其化解。

• 人工智能是一把双刃剑——它既是技术突破，也是显著扩大攻击面的潜在安全风险。其爆发式增长带来了快速演变的威胁，而缺乏技能的开发人员和资源不足的应用安全团队往往难以应对。

问题不在于缺乏对应用“安全设计”原则重要性的理解——事实上，对安全软件的需求已成为一项基础性需求和底线期望。目前缺失的是一套协调一致、可扩展的策略，以将这些原则嵌入到软件开发生命周期中。

我们似乎还缺乏明确的基准或可衡量的成果来评估推广是否成功。没有这些，团队只能盲目猜测其努力是否真正产生了影响。目前看来，我们虽有统一的战线，却缺乏共同的战略。

“安全设计”不仅对高合规性行业至关重要，更是大势所趋。开发人员必须得到赋能，而非负担。当配备了正确的技能、工具和支持，他们不仅是构建者，更会成为防御者，在最关键的源头嵌入安全。

立即下载 ，了解您的团队如何利用强大的开发人员风险管理策略和精准度量，在企业内部推动成功且统一的“安全设计”倡议。