例如安全測(cè)試的人員吐槽：“這幫人研發(fā)啥腦回路能寫(xiě)出這種漏洞”、“上次都說(shuō)測(cè)過(guò)這個(gè)漏洞了，這次還有”。開(kāi)發(fā)人員也吐槽安全：“這樣寫(xiě)有什么風(fēng)險(xiǎn)，你又不能證明”。聽(tīng)起來(lái)就像是安全向左，開(kāi)發(fā)向右，各有各的難處，充滿矛盾。

安全角度關(guān)注的重點(diǎn)在于過(guò)程——過(guò)程的安全性。所以在從事安全工作的過(guò)程中，需要通過(guò)分析去開(kāi)展工作，比如業(yè)務(wù)是怎么運(yùn)行的、調(diào)用了哪些組件、訪問(wèn)了哪些組件、身份認(rèn)證是怎么實(shí)現(xiàn)的等。甚至很多時(shí)候需要結(jié)合自身的經(jīng)驗(yàn)，去推測(cè)研發(fā)人員是怎么實(shí)現(xiàn)，去構(gòu)造測(cè)試方式以及測(cè)試用例，自然有了“這研發(fā)啥腦回路能寫(xiě)出這種漏洞”的感慨。

開(kāi)發(fā)工作更多地關(guān)注的是結(jié)果的正確性，在結(jié)果的正確性上考慮其他因素。例如連續(xù)性、健壯性、實(shí)現(xiàn)效率。開(kāi)發(fā)人員更傾向于選擇已驗(yàn)證的技術(shù)去達(dá)到正確的結(jié)果。只不過(guò)已驗(yàn)證并不是安全的已驗(yàn)證，而是結(jié)果已驗(yàn)證。例如搜索引擎里其他人是怎么解決的、技術(shù)文檔里是如何解決。但是很多問(wèn)題都沒(méi)有標(biāo)準(zhǔn)答案，需要通過(guò)一個(gè)個(gè)小問(wèn)題的答案的組合，所以開(kāi)發(fā)人員往往是通過(guò)組裝的方式，不會(huì)去關(guān)注中間過(guò)程是如何實(shí)現(xiàn)的。

安全人員的知識(shí)體系的儲(chǔ)備是從安全的角度出發(fā)的，以XXX漏洞原理、XXX威脅、風(fēng)險(xiǎn)為主，圍繞這些相關(guān)的案例和實(shí)踐經(jīng)驗(yàn)進(jìn)行學(xué)習(xí)和成長(zhǎng)。而開(kāi)發(fā)人員的知識(shí)體系儲(chǔ)備則是從語(yǔ)言規(guī)則、工具包、設(shè)計(jì)模式、算法這些內(nèi)容為主，可以說(shuō)是完全不相同的維度。

苛求開(kāi)發(fā)人員能像安全人員一樣，避開(kāi)所有漏洞是不太可能的，甚至可以說(shuō)安全不是開(kāi)發(fā)人員的第一優(yōu)先級(jí)，而安全人員往往對(duì)于研發(fā)的技術(shù)不太熟悉，很難給出能直接可供研發(fā)人員使用，達(dá)到安全目標(biāo)的建議。

大多數(shù)情況下，安全人員不是開(kāi)發(fā)多團(tuán)隊(duì)協(xié)作里的一環(huán)，開(kāi)發(fā)團(tuán)隊(duì)確保的是應(yīng)用系統(tǒng)的快速交付上線與迭代更新，而安全團(tuán)隊(duì)需要確保待上線的系統(tǒng)是滿足監(jiān)管與安全要求的。跨部門(mén)協(xié)作，各自團(tuán)隊(duì)與角色工作目標(biāo)不一致，自然會(huì)有很多“矛盾”。

安全團(tuán)隊(duì)認(rèn)為開(kāi)發(fā)不配合，給業(yè)務(wù)帶來(lái)巨大安全隱患，也造成后續(xù)不必要的安全投入；開(kāi)發(fā)團(tuán)隊(duì)認(rèn)為安全就是來(lái)添麻煩的，既要又要還要。

從更高維度的企業(yè)角度來(lái)說(shuō)，開(kāi)發(fā)和安全并不是對(duì)立的兩個(gè)事情，不是要安全還是要開(kāi)發(fā)的選擇題，安全、穩(wěn)定、可靠的應(yīng)用系統(tǒng)支撐業(yè)務(wù)發(fā)展才是共同的目標(biāo)。

安全開(kāi)發(fā)必然多團(tuán)隊(duì)配合的工作，消除矛盾、確立共同目標(biāo)才有協(xié)作的基礎(chǔ)。這就對(duì)安全團(tuán)隊(duì)提出了更高的要求。

我們其實(shí)在聊安全的時(shí)候都離不開(kāi)風(fēng)險(xiǎn)這個(gè)概念，都聽(tīng)過(guò)一句話“絕對(duì)的安全是不存在的，安全是相對(duì)的”， 絕對(duì)安全大家可能都知道，但是什么叫相對(duì)安全就是一個(gè)大大的問(wèn)號(hào)。從開(kāi)發(fā)人員角度，就會(huì)出現(xiàn)——“既然永遠(yuǎn)有問(wèn)題，那么還需要做安全嗎”的疑問(wèn)，而安全人員也會(huì)陷入到需要一直一直找漏洞和風(fēng)險(xiǎn)的情況，甚至以數(shù)量作為KPI，這極大地強(qiáng)化了開(kāi)發(fā)和安全之間的對(duì)抗，針對(duì)多個(gè)漏洞和風(fēng)險(xiǎn)進(jìn)行挑戰(zhàn)和復(fù)議，難以推進(jìn)協(xié)作，反而造成了大量?jī)?nèi)耗。

弱化安全對(duì)抗的第一步是跳出提升漏洞數(shù)量的陷阱，其實(shí)安全和開(kāi)發(fā)的出發(fā)點(diǎn)都是一樣的，希望應(yīng)用系統(tǒng)的風(fēng)險(xiǎn)越來(lái)越小。從安全質(zhì)量的角度上來(lái)看，安全團(tuán)隊(duì)的理想情況是測(cè)出的漏洞和風(fēng)險(xiǎn)是0個(gè)，而開(kāi)發(fā)團(tuán)隊(duì)的理想情況是編寫(xiě)的漏洞和風(fēng)險(xiǎn)是0個(gè)。

但是由于風(fēng)險(xiǎn)屬性的存在，0個(gè)是很難存在的情況，所以第二步是嘗試對(duì)相對(duì)安全的標(biāo)準(zhǔn)進(jìn)行細(xì)化，圍繞這個(gè)相對(duì)安全的標(biāo)準(zhǔn)工作就能更加容易得達(dá)到“0個(gè)”得目標(biāo)，無(wú)論安全還是開(kāi)發(fā)都可以圍繞標(biāo)準(zhǔn)部署工作，從某種意義上消除摩擦，避免后續(xù)在具體工作上的矛盾。

賦能不僅僅只是一些培訓(xùn)，更多的需要建立起相互理解和認(rèn)識(shí)，但是由于過(guò)于龐大的開(kāi)發(fā)團(tuán)隊(duì)，往往需要安全團(tuán)隊(duì)優(yōu)先行動(dòng)起來(lái)，從開(kāi)發(fā)人員一貫思路上提供助力。

安全團(tuán)隊(duì)構(gòu)建起安全需求以及威脅的知識(shí)庫(kù)，通過(guò)威脅建模工具的方式（例如安恒安全需求分析工具）幫助開(kāi)發(fā)從系統(tǒng)、業(yè)務(wù)等角度識(shí)別各個(gè)安全需求，細(xì)化開(kāi)發(fā)任務(wù)，落地安全質(zhì)量標(biāo)準(zhǔn)。

安全團(tuán)隊(duì)與開(kāi)發(fā)團(tuán)隊(duì)一起設(shè)計(jì)一些常用的安全工具方法，例如安恒信息的安全開(kāi)發(fā)SDK，開(kāi)發(fā)人員不需要再用考慮如何組件的設(shè)計(jì)是否安全，重新回到如何組裝這些組件、工具去解決問(wèn)題的角度上。

但是這些并不代表著開(kāi)發(fā)團(tuán)隊(duì)不需要行動(dòng)起來(lái)，所有這些措施里都包含了大量的安全知識(shí)和經(jīng)驗(yàn)，如何掌握和使用這些信息，從來(lái)不是一件輕易的事情，哪怕它們已經(jīng)做得非常清晰、完善、通俗易懂。

開(kāi)發(fā)和安全需要互相認(rèn)識(shí)、理解，才能真正的協(xié)作。

這里不僅僅是說(shuō)某個(gè)開(kāi)發(fā)流程的協(xié)作，而是思路上的轉(zhuǎn)變，圍繞思路的轉(zhuǎn)變?nèi)ピO(shè)計(jì)、調(diào)整協(xié)作流程。

可能有的人會(huì)問(wèn)，你說(shuō)的轉(zhuǎn)變是安全團(tuán)隊(duì)既管殺也管埋嗎？做到漏洞的檢測(cè)發(fā)現(xiàn)到修復(fù)一條龍。

確實(shí)，這是轉(zhuǎn)變的一部分，但是除了這個(gè)意外很重要的一點(diǎn)是開(kāi)發(fā)與安全團(tuán)隊(duì)現(xiàn)在是以系統(tǒng)的安全質(zhì)量為共同的目標(biāo)，那么就不能是以問(wèn)題導(dǎo)向?yàn)槲ㄒ荒繕?biāo)了，問(wèn)題、bug、安全漏洞的修復(fù)不是閉環(huán)的終點(diǎn)，需要將發(fā)現(xiàn)的問(wèn)題推回到整個(gè)體系中，優(yōu)化流程，發(fā)現(xiàn)知識(shí)體系的殘缺、工具規(guī)則的優(yōu)化等等，通過(guò)PDCA中A去實(shí)現(xiàn)閉環(huán)。

安恒安全開(kāi)發(fā)一體化平臺(tái)概要