早些年，软件开发的节奏很简单：先写功能，上线后交给运维，安全问题等出事再补。现在不行了。业务跑在云上，接口对外开放，数据在不同系统之间流动，任何一个小漏洞，都可能被放大成一次大事故。这也是最近几年“安全左移”这个词反复被提起的原因。
所谓安全左移，就是把安全从“上线后检查”，挪到“写代码时就开始考虑”。CISAW 里有一个方向叫安全软件，关注的就是这件事：不是教你怎么攻破系统，而是让你在设计和编码阶段，就少埋雷。它大致会覆盖这些能力：
安全开发生命周期
需求阶段就想清楚：哪些数据敏感、哪些操作要授权、哪些日志要留痕。代码与供应链风险
自研代码要审计，第三方组件、开源依赖也要管。很多事故不是自己写的代码有问题，而是引了一个带漏洞的包。应用安全测试
不是等渗透测试临门一脚，而是在开发流程里就做静态检查、接口校验、权限校验。漏洞响应机制
发现漏洞后，怎么复现、怎么定位、怎么修复、怎么复盘，形成闭环。
这和另一个趋势是连着的：DevSecOps。
过去是开发、安全、运维各管一段；现在更合理的状态是——开发懂点安全，运维懂点风险，安全懂点业务。
举个例子：
一个登录接口，开发想的是“能验密就行”；
运维想的是“别把服务打挂”；
安全人员会多问一句：“密码错误次数有没有限制？token 有没有过期？异地登录要不要二次验证？”
这三句话，其实就是三种能力叠加。
CISAW 的意义，不一定非要从“考证”角度看。它更像把安全岗位的能力模型拆开，让人知道：
写代码的人该补什么
做集成的人该看什么
做运维的人该防什么
做管理的人该统什么
特别是对做软件、做平台、做 SaaS、做行业系统的团队来说，安全不是上线前贴一层膜，而是从第一行代码开始的习惯。
往后看，懂业务又懂安全的人，会比只懂单点技术的人更稀缺。
因为攻击是单点突破，防御是系统工程。
CISAW信息安全保障人员，北京青蓝智慧科技
马老师13521730416
丁老师13522094648
安全软件（SS）
安全集成（SI）
安全运维（OM）
风险管理（RM）
应急服务（ES）
个人信息安全（PIS）
安全咨询（SC）
灾难备份与恢复（DR）
工业控制系统安全（ICS）
