SOP安全运营平台的目标和定位:帮助团队更好地落地安全运营，实现流程化、规范化、可视

化目标，提高团队安全运营的工作效率，提高整个企业的安全风险对抗能力。平台作为应用安全

管理系统建设过程中的工具支持，实现了漏洞生命周期闭环、自我研究扫描工具整合、组件安全

在线化管理、SDLC运营和在线发布版本安全管理、安全资产建设、应用安全图像和风险模型建

设等模块功能。这些功能模块之间的联动构建了要求-检查-管理这种系统化的安全运营模式，解

决了运营中人工运营成本过高、资产不明确、安全问题处理流程不闭环、SDLC不能运行等问题

，提高了整体安全运营效率。

 

 

无论是在线前的人工安全测试还是自主开发的安全检查工具，都是对不同水平风险的检查手段，

漏洞是检查结果的直观反馈，是各种风险的具体反映。漏洞管理作为应用安全建设不可或缺的

一部分，如何释放运营商在这方面的工作量，提高效率是第一个问题。
 

原始的脆弱性系统存在流程不完善、各种信息需要人工维护、权限划分不清楚等问题，处理跟

进脆弱性需要大量的人工费。

 

 

 

1、与CMS对接，将各种需要人工维护的信息统一变更为系统对接，并根据应用维度设应用维度

(可分割的最小系统，即最小单元Unit)，通过应用信息可以自动关联出资产、人员和组织信息。

并将执行中发现的数据差异反馈给CMS，帮助CMS自身完善数据，矫正数据的正确性，修正后

的数据更好地被安全系统利用，形成良性循环。
 

 

2、在脆弱性过程的设计中，基于银行系统功能的反复过程，综合考虑不同性质和环境脆弱性处

理的不同，在这种模式下，从提出脆弱性到定位资产，分配给对应者解决，进行验证修复关闭

，大幅度提高了处理效率。当然，漏洞的闭环不仅仅是修复之前，漏洞的复盘也是极其重要的

一环。在观察数据的过程中，我们发现一些系统在实施SDLC后仍有许多漏洞。这些漏洞是由

于安全评估、安全需求识别、安全设计、代码审计和安全测试环节的问题造成的？如果能知道

问题的一环，就能更好地对症疗法。

 

 

根据这个想法，我们认为SDLC执行过程的质量可以通过漏洞的版本信息来追溯。对于版本反

复脆弱性，安全技术人员在报告脆弱性时可以填写产生脆弱性的版本和需求信息的非版本反复

脆弱性，目前只能通过开发填写产生脆弱性的版本和需求信息的方式(后续计划与统一接口平台

对接，从接口信息可以追溯到版本信息)。有了版本和需求信息，您可以查询SDLC的安全过程

数据，并检查SDLC的执行情况。