安全领航，共筑敏捷开发新时代【云驻共创】

安全领航，共筑敏捷开发新时代。网络安全形势虽然严峻，但得益于企业安全意识的提升，近两年来遭受网络攻击的网站不断减少，普通网民的个人隐私及其他敏感数据得到了更多的保证。华为云基于自身多年的安全经验研发了可以帮助开发者实现安全开发的服务。

1. 安全领航，共筑敏捷开发新时代

1.1安全威胁一直在：数据泄露、业务连续性、合规遵从

1.2境外攻击持续增多

抽样监测发现，境外有近4.7万个IP地址作为木马或僵尸网络控制服务器参与控制我国境内主机，其控制的境内主机数量已由近500万增加至近890万，呈现大规模化趋势。其中位于日本（22.8%)、美国（20.4%）和韩国（7.1%）的控制服务器IP数量居前三位。

在网站安全方面，境外黑客对境内1116个网站实施了网页复改：境外11851个IP通过植入后门对境内10593个网站实施远程控制；仿冒境内银行网站的服务器IP有95.8%位于境外，其中美国仍然排名首位一共有481个IP （占72.1%）仿冒了境内2943个银行网站的站点，中国香港（占17.8%）和韩国（占2.7%）分列二、三位。

据工业和信息化部互联网网络安全信息通报成员单位报送的数据，在我国实施网页挂马、网络钓鱼等不法行为所利用的恶意域名约有65%在境外注册。这些情况表明我国面临的境外网络攻击和安全威胁越来越严重。

1.3中国面临极大网络安全挑战

对于中国来说，最现实而严酷的挑战是：掌握了信息和网络技术优势的国家和实力雄厚的西方信息安全服务商正借助这股国际化的浪潮对中国发动或明或暗的进攻，中国面临的网络空间安全环境正在因为安全干预和安全服务国际化的加强而进一步恶化。

全球大环境出现了前所未有的信息风险，风险和威胁的发源，动机，性质，组织和成熟度都在发展和变化。特别需要指出的是，随着信息和网络技术的不断进步，目前在全球范围内出现了推动网络攻击、安全干预和安全服务国际化的四个主要趋势，它们是，（1）IT和 “云计算化”正在全球范围普及和不断加速；（2）全球网络的“移动性”不断扩展；（3）无边界企业（包括无边界的全球金融）引发全球网络边界消失；以及，（4）大数据的全球流动和无边界分析与应用。这些趋势创造了一个系统互依的风险环境。

1.4国家密集出台网络安全和隐私保护相关法律法规要求

在愈加复杂多变的安全环境下，国家从立法层面持续提升全社会对网络安全的关注与重视程度，密集颁布多项网络安全相关法律法规，同时，各行业、各地区紧锣密鼓出台与之配套的落地实施条例及政策性文件，体现出把安全发展贯穿于国家发展各领域和全过程的决心。政策红利为网络安全行业带来重大发展机遇，也为各企业组织敲响安全防护的警钟，安全419梳理总结出2021年发布的网络安全相关重要法规及政策，供行业同仁与甲方企业参考。

国家各部委与地方政府密集发布的网络安全政策文件，是国家“坚持总体国家安全观，统筹发展和安全”的实际践行，也是“把国家安全贯穿到党和国家工作各方面全过程”的行动写照。这与当前愈加复杂的网络安全形势息息相关，同时也代表在行业新场景、新技术下，政府部门对网络安全提出了更高要求。

长期以来，政企单位网络安全面临着管理与技术“两张皮”、安全技术“碎片化”、监测预警能力不足等系列问题，缺乏对网络安全的体系化管理，安全问题层出不穷。政企单位网络安全亟须建立起融合人、技术、管理于一体的网络安全管理体系。

1.5安全左移（研发安全）：安全越滞后，损失越大，最大相差30倍

1.6安全挑战

对于中国来说，最现实而严酷的挑战是：掌握了信息和网络技术优势的国家和实力雄厚的西方信息安全服务商正借助这股国际化的浪潮对中国发动或明或暗的进攻，中国面临的网络空间安全环境正在因为安全干预和安全服务国际化的加强而进一步恶化。

1.7华为应用安全实践：覆盖软件生命全周期的规范、方法和工具链

安全编码对保证产品和服务的安全性至关重要

为防止、检测和消除可能危及软件安全的错误，华为云要求开发人员严格遵守华为公司的安全编码规范，且在上岗编码前均须通过对应规范的学习和考试。

为保证服务始终具备高安全性，华为云在安全编码的同时，使用静态代码扫描工具例行检查，并保证云服务在发布前达到静态代码扫描零告警，以此有效降低上线时编码相关的安全问题。

华为云基于自身多年的安全经验研发了可以帮助您实现安全开发的服务，例如集华为研发实践、前沿研发理念、先进研发工具为一体的软件开发平台DevCloud。此平台覆盖软件交付的全生命周期，可以助力您更简单、高效、安全地进行软件开发。此外，华为云研发的代码检查CodeCheck提供近2000条华为典型检查规则，支持多种主流开发语言，可以在开发阶段识别大部分安全问题，实现安全风险前置，有效管控代码质量。

1.8 华为敏捷开发平台DevCloud，华为研发工程/工具能力外溢，助力企业提质增效

软件开发平台（DevCloud）是面向开发者提供的一站式云端DevSecOps平台，即开即用，随时随地在云端交付软件全生命周期，覆盖需求下发、代码提交、代码检查、代码编译、验证、部署、制品仓库，打通软件交付的完整路径，提供软件研发流程的端到端支持。

软件开发平台由以下几个主要服务构成：

• 项目管理：软件开发团队提供敏捷项目管理与协作，支持多项目管理、敏捷迭代管理、里程碑管理、需求管理、缺陷跟踪、多维度统计报表等功能。

• 代码托管：面向软件开发者的基于Git的在线代码托管服务，是具备安全管控、成员/权限管理、分支保护/合并、在线编辑、统计服务等功能的云端代码仓库，旨在解决软件开发者在跨地域协同、多分支并发、代码版本管理、安全性等方面的问题。

• 流水线：提供可视化、可定制的自动交付流水线，帮助企业缩短交付周期，提升交付效率。

• 代码检查：基于云端实现代码质量管理，软件开发者可在编码完成后执行多语言的代码静态检查和安全检查，获取全面的质量报告，并提供缺陷的分组查看与改进建议，有效管控代码质量，帮助产品成功。

• 编译构建：开发者提供配置简单的混合语言构建平台，实现编译构建云端化，支撑企业实现持续交付，缩短交付周期，提升交付效率。支持编译构建任务一键创建、配置和执行，实现获取代码、构建、打包等活动自动化，实时监控构建状态，让您更加快速、高效地进行云端编译构建。

• 部署：提供可视化、一键式部署服务，支持部署到虚拟机或者容器，提供Tomcat、SpringBoot等模板或者自由组装编排原子步骤进行部署，支持并行部署和流水线无缝集成，实现部署环境标准化和部署过程自动化。

• 云测：面向软件开发者提供一站式云端测试平台，覆盖功能测试、接口测试，融入DevOps敏捷测试理念，帮助您高效管理测试活动，保障产品高质量交付。

• 制品仓库：为软件开发团队提供管理软件发布过程的能力，保障软件发布过程的规范化、可视化及可追溯。

• CloudIDE：云端开发环境。向开发者提供按需配置、快速获取的工作空间（包含编辑器和运行环境），支持完成环境配置、代码阅读、编写代码、构建、运行、调试、预览等操作，并支持对接多种代码仓库。

• 开源镜像站：由华为云提供的开源组件、开源操作系统及开源DevOps工具镜像站，致力为用户提供全面、高速、可信的开源组件/OS/工具下载服务。

1.9华为20年研发安全能力外溢：提供原子化的研发安全能力，满足上线前安全检测需求

1.10安全&敏捷：共筑新开发模式

网络安全形势虽然严峻，但得益于企业安全意识的提升，近两年来遭受网络攻击的网站不断减少，普通网民的个人隐私及其他敏感数据得到了更多的保证。