应用程序安全能力：构建安全计划以提高标准

了解生产软件的所有组件，包括在构建时引入的组件，是软件安全能力的基础部分。除了资源充足的CISO和出色的软件库存之外，还有一些可信的软件安全功能的基础部分：

• 验证企业软件开发生命周期(SDLC)中安全依从性的方法。这不仅仅是对安全缺陷的测试，还必须包括遵守所有标准和策略；
• 说到这一点，企业将需要面向软件和数据安全的策略和标准。这些必须是不可协商的，其中不遵守策略和标准自动会被认定是安全问题，尽管异常过程可能允许安全小组有一些额外的时间来解决；
• 给软件安全风险排名，可以在时间、人力或者资金有限的时候确定重点应放在哪里？
• 对软件项目进行排名（改变加密算法的开发最小迭代周期可能比改变UI字体和颜色的开发最小迭代周期更值得仔细研究）
• 工程师需要一个明确的联系人来解决安全问题，并让他们了解安全责任。无论你将这些人称为软件安全卫星、忍者、安全冠军还是其他，他们都需要存在。

许多企业都有正式的软件安全计划（SSI），这些计划已经将他们从“渗透和修补”的心态转变为积极主动和可信的方法。在CI / CD和DevOps之前提高软件安全能力水平不会在一天内发生，但并不复杂。

SSI自21世纪初就已经出现了，与部署SSI的开发企业同步发展。软件安全团队经常实施耗时的测试，而工程团队瀑布式和敏捷级别流程大多数情况下都有足够的时间可以实现这些测试。这两个团队通常协调得很顺畅，每个团队都能充分发挥自己的工作，即使效率不高。软件安全能力通常关注测试过程可以找到多少错误。这对于那些执行治理和降低风险的人员来说是有效的，但却给工程人员带来了不可接受的摩擦，他们需要注重速度。

如果CISO不采取主动措施，他们的公司将极可能陷入各种各样的无效非生产性的工作中。公司将有负责打通云端管道的影子IT团队；创建使CI/CD各种工具相互通信的”黏合代码”的影子开发团队.；制定可行的但不安全的云设计的影子构架团队，诸如此类。一旦投入使用，那些功能正常的、创收的应用程序，如果只是没有通过任何安全检测，则极可能是无法解除的。

每家公司都要求确保CISO能够快速部署可接受的安全软件，无论他们是否能够在每天的每一分钟都看到每个SDLC的每个环节。

“我需要保证软件组合在任何特定时间都是适当的安全”是一个明显更成熟的管理主张，而不是“我必须在该软件开发结束时对其进行测试。”

所有利益相关者合作以便每个人步调一致和共同提高所有人的能力。