案例分享：Z农商行携手默安完成开发安全能力进阶之旅

在金融领域，数字化转型已成为金融行业适应数字经济时代发展的关键战略。农村信用社和农商银行作为我国服务“三农”和小微企业的重要金融机构，是国家财政政策与农村农业发展政策协同配合的关键载体，也是数字经济和实体经济协同发展的直接驱动力，其数字化转型不仅是提升服务质量和效率的重要手段，也是推动农村经济高质量发展的必然要求。

近年来，农村信用社和农商银行的改革与发展备受关注。2023年2月，中共中央国务院发布的《关于做好2023年全面推进乡村振兴重点工作的意见》，提出要“加快农村信用社改革化险”；2023年6月，中国人民银行、国家金融监督管理总局、证监会等部发布的《关于金融支持全面推进乡村振兴加快建设农业强国的指导意见》提出要“加快农村信用社改革，推动省联社转换职能，规范履职行为，稳步推进村镇银行结构性重组，强化风险防范化解，增强“三农”金融服务能力。”这不仅为农村信用社和农商银行改革指明了方向，同时也为其加快数字化转型步伐，提升农信系统的数字化水平提供了指导基础。通过数字化手段，有助于农村信用社和农商银行增强金融风险的识别、监控和控制能力，实现风险控制流程的自动化，从而提高农村金融系统的稳定性和安全性。

某省级农商银行（以下简称“Z农商行”）所在省份是国务院《深化农村信用社改革试点方案》的第一批改革试点省份之一。目前，该农商行无论从服务网点数量，还是从各项存贷款余额，均位居全国首位。作为全国农信系统高质量发展的先行者，Z农商行积极响应国家政策和市场需求，不断推进数字化转型和研发管理创新，并借助外部支持，完善软件安全开发体系，提升信息系统开发建设的安全性和效率。

图源：网络

客户面临的现状

Z农商行在数字化转型和研发管理方面进展迅速，DevOps相关能力处于国内农商行领先水平，成功通过中国信息通信研究院的《研发运营一体化（DevOps）能力成熟度模型》持续交付3级评估。该行也非常重视应用系统的安全建设，很早就开始践行安全开发工作，从应用系统开发初期进行安全介入，从源头把控开发的安全质量。随着客户数及业务量逐年攀升，业务场景愈加丰富，新技术栈的应用逐步推进，信息系统的数量与种类大幅增加、迭代频率也越来越高，该行信息系统开发建设面临的风险和挑战也更加复杂，对软件安全开发在效果提升、效率提高和人员依赖度降低等方面提出更高的要求。

默安科技解决方案

经过审慎考察与多方对比，以及对行业落地经验丰富性和产品服务能力的综合评估，Z农商行最终选择默安科技雳鉴系列产品及相关服务，以达到现阶段对软件安全开发的各项要求。默安科技开发安全专家在经过详细的调研之后，了解到Z农商行从早期的部分项目进行试点，到目前系统化开展安全开发管理工作，安全开发的理念在行内早已深入人心，而软件安全开发体系的完善、安全自动化水平的提高，以及安全意识与技能的增强，是目前该行亟待解决的问题。

系统设计阶段

软件系统的安全设计为开发安全需求提供整体分析，是安全控制措施的具体技术实现。此阶段默安科技协助Z农商行通过威胁建模工具识别可能存在的安全风险，采用相应的安全设计以防范或降低系统风险，并输出《安全设计知识库》《软件安全设计报告》《安全设计评审说明书》等专业文档，帮助安全设计切实落地。

开发编码阶段

软件在开发编码阶段的安全是实现整体安全左移的关键，此阶段的重点是关注代码安全，将已知代码问题在源码阶段实现控制，降低后期修复成本。此阶段默安科技协助Z农商行通过软件成分分析和代码审计等安全活动，来发现编码过程中的开源组件安全风险和不安全编码导致的安全漏洞。

安全测试阶段

软件安全测试是为查找所开发软件中存在的安全隐患，并检查软件对非法侵入的防范能力。此阶段默安科技协助Z农商行采用业界最先进的交互式应用安全检测（IAST）技术，发现更多的安全漏洞，并及时完成修复，确保系统最终上线的安全性。结合默安科技提供的专家运营服务，该行漏洞验证和修复的效率得到大幅提升，IAST的检测效果也得以持续增强。

同时，默安科技协助Z农商行将相关安全工具与开发流水线进行无缝结合，由流水线自动发起安全测试，以更加适应DevOps的开发模式，不仅加强安全测试的及时性，更直接提升了开发效率。

客户收益与反馈

在默安科技的助力下，Z农商行已接入的60+应用系统全部完成流水线质量卡点或手动插桩，高危与中危漏洞检出率与修复率均达到业内较高水准，在效果提升、效率提高和人员依赖度降低等方面均取得良好成效，软件安全开发体系得到持续完善。

一是通过安全开发过程控制及进一步安全左移等措施，使更多的安全风险可以在早期被识别或检出，大幅降低应用发布前的风险。

二是借助自动化安全测试工具链，使原本依靠个人经验技能的工作以较高的自动化、标准化方式进行，极大地提升安全测试效率与效果。

Z农商行的相关负责人表示：

“在默安科技专业产品与服务的助力下，目前我行已经建立相对完善的安全开发管理制度体系，积累了丰富的威胁建模知识库，相关安全检测工具配套也较为完善；并定期开展安全开发培训，提高开发人员的安全意识和技能。这些工作大幅提升我行应用系统的安全水平，为业务稳定运行和金融数据安全起到重要作用。”

在软件开发安全领域，默安科技不仅拥有自主研发的具备国际竞争力的工具链与平台，更打造出经过长期大量实践验证的技术运营服务能力，熟悉开发安全在各类企业不同发展阶段落地中的痛点与难点，通过产品+伴随式的专业服务，持续为金融、能源、交通、智能制造等多个行业开发安全体系的建设带来重要的价值。