CN112016101B - 软件研发安全能力动态评估和提升方法及系统 - Google Patents

Abstract

本发明公开了一种软件研发安全能力动态评估和提升方法及系统，其中该方法包括如下步骤：基于具有全生命周期管理架构软件安全研发平台进行软件研发；软件安全研发平台中集成有与之通过数据接口通信连接的研发任务管理工具和若干类安全测试工具；软件安全研发平台动态获取安全漏洞信息和任务分配信息；动态统计任一研发人员的任务分配信息，以评估该研发人员的研发安全能力；当研发人员的研发安全能力低于设定目标时，其推送定向能力提升资料；通过上述方法，可对研发团队中每一个体的研发安全能力进行差异化评估和有针对性的提升，避免对不需要的人员进行重复性的能力提升培训，有效提高研发人员的研发安全能力和企业的培训效率。

Description

软件研发安全能力动态评估和提升方法及系统

技术领域

本发明涉及软件研发安全能力评估技术领域，尤其涉及一种软件研发安全能力动态评估和提升方法及系统。

背景技术

目前，应用安全领域的核心问题在研发环节，针对研发安全，本领域技术人员逐渐达成共识，要实施软件安全全生命周期管理。然而，在软件安全全生命周期管理过程中，还没有针对研发安全能力评估和提升有可自动化实施的解决方法，更多的是针对整个研发团队进行安全意识培训。但是仅依靠安全意识培训并不能对研发团队的安全研发能力起到很好的提升作用，也不能针对性的分析每个研发人员的安全研发能力，这样一来，每次培训时可能对不同的研发人员带来不同的效果，如：针对部分人群来说是重复培训，而针对另外一部分人群来说，可能培训力度不够，或者培训内容过多，无法很好掌握。

发明内容

本发明的目的是为解决上述技术问题的不足而提供一种可对软件研发团队中的每一个研发人员的研发安全能力进行差异化动态评估和提升的软件研发安全能力动态评估和提升方法及系统。

为了实现上述目的，本发明公开了一种软件研发安全能力动态评估和提升方法，其包括如下步骤：

基于软件安全研发平台进行软件研发，所述软件安全研发平台具有全生命周期管理架构；

所述软件安全研发平台中集成有与之通过数据接口通信连接的研发任务管理工具和若干类安全测试工具；

所述软件安全研发平台动态获取所述安全测试工具检测到的安全漏洞信息和所述研发任务管理工具中的任务分配信息，并将获取到的所述安全漏洞信息推送给所述研发任务管理工具；

动态统计任一研发人员的所述任务分配信息，根据所述任务分配信息中被分配到的漏洞处理的频率和类型评估该研发人员的研发安全能力；

当研发人员的研发安全能力低于设定目标时，定义该研发人员进入安全能力提升阶段，针对该研发人员的安全能力缺陷，向其推送定向能力提升资料。

与现有技术相比，本发明软件研发安全能力动态评估和提升方法，由于在基于全生命周期管理架构的软件安全研发平台中集成有研发任务管理工具和若干类安全测试工具，因此，可通过动态统计每一研发人员的任务分配信息实时获取每一研发人员处理的漏洞的频率和类型，以此分别动态评估每一研发人员的研发安全能力，当发现某任一研发人员存在研发安全能力问题时，可立即向其发送有针对性的定向能力提升资料，以改善该研发人员的研发安全问题；由此可知，通过上述方法，可对研发团队中每一个体的研发安全能力进行差异化评估和有针对性的提升，避免对不需要的人员进行重复性的能力提升培训，从而不仅可有效提高每个研发人员的研发安全能力，还有效提升了培训效率。

较佳地，通过自定义的研发安全能力等级对研发人员的安全能力进行分级表示，根据所述任务分配信息中被分配到的漏洞处理的频率和类型对研发人员的所述研发安全能力等级进行动态调整。

较佳地，所述定向能力提升资料包括学习资料和考核资料，当研发人员进入安全能力提升阶段后，仅当该研发人员通过所述考核资料的考核后，对该研发人员的研发安全能力等级重新进行动态评估。

较佳地，当研发人员通过所述考核资料的考核后，监控该研发人员在一定时间内是否被分配相同类型的漏洞处理任务，如果是，重新定义该研发人员进入安全能力提升阶段。

本发明还公开一种软件研发安全能力动态评估和提升系统，其包括具有全生命周期管理架构的软件安全研发平台，所述软件安全研发平台中集成有与之通过数据接口通信连接的研发任务管理工具和若干类安全测试工具，所述软件安全研发平台可动态获取所述安全测试工具检测到的安全漏洞信息和所述研发任务管理工具中的任务分配信息，并将获取到的所述安全漏洞信息推送给所述研发任务管理工具；所述软件安全研发平台上还设置有评估模块和资料推送模块；

所述评估模块，用于通过动态统计任一研发人员的所述任务分配信息，并根据所述任务分配信息中被分配到的漏洞处理的频率和类型评估该研发人员的研发安全能力，以判断该研发人员是否需要被定义进入安全能力提升阶段；

所述推送模块，用于向进入所述安全能力提升阶段的研发人员推送与该研发人员的安全能力缺陷相适配的定向能力提升资料。

较佳地，所述软件安全研发平台上还设置有分级模块和级别调整模块，所述分级模块用于通过自定义的研发安全能力等级对研发人员的安全能力进行分级表示，所述级别调整模块用于根据所述任务分配信息中被分配到的漏洞处理的频率和类型对研发人员的所述研发安全能力等级进行动态调整。

较佳地，所述定向能力提升资料包括学习资料和考核资料，当研发人员进入安全能力提升阶段后，仅当该研发人员通过所述考核资料的考核后，所述级别调整模块对该研发人员的研发安全能力等级重新进行动态评估。

较佳地，当研发人员通过所述考核资料的考核后，所述评估模块监控该研发人员在一定时间内是否被分配相同类型的漏洞处理任务，如果是，重新定义该研发人员进入安全能力提升阶段。

本发明还公开一种软件研发安全能力动态评估和提升系统，其特征在于，包括一个或多个处理器、存储器；以及一个或多个程序，其中一个或多个程序被存储在所述存储器中，并且被配置成由所述一个或多个处理器执行，所述程序包括用于执行如上所述的软件研发安全能力动态评估和提升方法的指令。

本发明还公开一种计算机可读存储介质，其包括测试用计算机程序，所述计算机程序可被处理器执行以完成如上所述的软件研发安全能力动态评估和提升方法。

附图说明

图1为本发明其中一实施例中动态评估和提升方法的流程示意图。

图2为本发明另一实施例中动态评估和提升方法的流程示意图。

图3为本发明实施例中动态评估和提升系统的原理结构示意图。

具体实施方式

为详细说明本发明的技术内容、构造特征、所实现目的及效果，以下结合实施方式并配合附图详予说明。

为对软件研发团队中的每个研发人员进行研发能力安全评估和能力提升，本实施例公开了一种软件研发安全能力动态评估和提升方法，本实施例中的软件研发基于具有全生命周期管理架构的软件安全研发平台，以使得研发过程中，各个环节可以实时沟通交流，该软件安全研发平台可基于S-SDLC理念搭建而成，软件安全研发平台包括存储模块、处理模块10和操作终端。具体地，如图1和图3，该动态评估和提升方法包括：

S1：在软件安全研发平台中集成与之通过数据接口（API）通信连接的研发任务管理工具11和若干类安全测试工具12，在软件安全研发平台中，研发任务管理工具11和若干类安全测试工具12与处理模块10通信连接。较佳地，本实施例中的研发任务管理工具11和若干类安全测试工具12均为DevOps工具中的一种，也即，只需在软件安全研发平台中集成DevOps工具套装即可，DevOps工具套装中集成有jira，禅道，bugzila等研发任务管理工具11，同时还会集成各类安全测试工具12。

在研发任务管理工具11中，项目管理人员会将软件安全研发平台推送过去的研发任务（漏洞修复）分配给具体负责修复的人，另外需要说明的是，分配关于漏洞的研发任务时，根据谁写谁负责的原则，将关于漏洞修复的研发任务分给具有该漏洞的原程序的编写人员。具体的，项目管理人员会通过研发任务管理工具11中的任务分配功能，指定任务完成人，任务完成人在自己的任务列表中会看到被分配的任务。项目管理人员进行任务分配操作时，软件安全研发平台会定时的调用研发任务管理工具11的API以获取任务分配信息，并将这些任务分配信息保存在数据库中。

S2：软件安全研发平台通过数据接口动态获取安全测试工具12检测到的安全漏洞信息和研发任务管理工具11中的任务分配信息，并将获取到的安全漏洞信息推送给研发任务管理工具11。

S3：动态统计任一研发人员的任务分配信息，根据任务分配信息中被分配到的漏洞处理的频率和类型评估该研发人员的研发安全能力。

S4：判断研发人员的研发安全能力是否低于设定目标。

当研发人员的研发安全能力低于设定目标时，S50：定义该研发人员进入安全能力提升阶段，针对该研发人员的安全能力缺陷，向其推送定向能力提升资料。所谓定向能力提升资料，即为针对不同的安全漏洞分别对应存储有不同的能力提升资料。

安全研发平台执行上述方法的具体过程为：

预先制作若干分类存储的定向能力提升资料。软件安全研发平台实时收集不同安全测试工具12检测到的安全漏洞信息，并推送到研发任务管理工具11中。对于被推送到研发任务管理工具11中的安全漏洞信息，在被动态分配到个人时，软件安全研发平台会定时地通过调用研发任务管理工具11的数据接口获取任务分配信息并保存在数据库中。通过该过程，软件安全研发平台可以动态统计某个研发人员经常被分配到的要解决的安全漏洞。在分析到某个研发人员经常被分配解决某一类型的安全漏洞时，可以知道该研发人员针对此类安全漏洞的防御编程方法并不了解，软件安全研发平台会通过预先设置好的规则，对该研发人员进行定向能力提升，即定义该研发人员进入安全能力提升阶段，针对该研发人员的安全能力缺陷，向其推送定向能力提升资料。如，某个研发人员在一段时间内经常要解决SQL注入漏洞，软件安全研发平台会向其邮箱中推送有关SQL注入漏洞的培训资料（包括视频资料、文字资料等）。

进一步改进，还可通过自定义的研发安全能力等级对研发人员的研发安全能力进行分级表示，如将研发人员的研发安全能力等级从高到低分为一级、二级、三级等，或者更形象些的黑带、蓝带和绿带等。然后，根据任务分配信息中被分配到的漏洞处理的频率和类型对研发人员的研发安全能力等级进行动态调整。如，按照分数f对研发安全能力等级进行划分，8≤f≤10为黑带，5≤f＜8为蓝带，f＜5为绿带。每个研发人员初始分值为10分，当根据任务分配信息发现任一研发人员被分配到严重或高等级BUG处理任务，扣2分，中或低等级BUG处理任务扣1分。另外，从当前的漏洞修复后开始，每间隔一端时间没有发现新的漏洞，该研发人员分数加1。

当某一研发人员的研发安全能力等级被下调时，说明该研发人员的研发安全能力需要提高，使其进入安全能力提升阶段，并对该研发人员推送定向能力提升资料。较佳地，定向能力提升资料包括学习资料和考核资料，当研发人员进入安全能力提升阶段后，如图2，本实施例中的动态评估和提升方法执行步骤S6和S7：查询进入安全能力提升阶段的研发人员是否通过考核资料的考核，仅当该研发人员通过考核资料的考核后，对该研发人员的研发安全能力等级重新进行动态评估，也即，只有确定进入安全能力提升阶段研发人员考核通过后才有资格获取研发安全能力提升。

另外，当研发人员考核合格后，为进一步确定研发人员确实掌握了该类漏洞的处理方法，如图2，本实施例中的动态评估和提升方法执行步骤S8至S91：当研发人员通过考核资料的考核后，监控该研发人员在一定时间内（如一周）是否被分配相同类型的漏洞处理的任务分配信息，如果是，重新定义该研发人员进入安全能力提升阶段，如果否，表示该研发人员已经知晓如何正确防止出现该类安全漏洞，说明该研发人员已经掌握该类漏洞的处理方式，将其定义为常规监控人员。

综上，通过上述本发明公开的软件研发安全能力动态评估和提升方法，可实时收集不同安全测试工具12检测到的安全漏洞信息，并将安全漏洞信息推送到研发任务管理工具11中，然后项目管理人员进行任务分配操作时，软件安全研发平台会定时的调用研发任务管理工具11的API以获取任务分配信息，并将之保存在数据库中，以此，软件安全研发平台通过动态统计分析每个研发人员的经常被分配到的要解决的安全漏洞来监控研发人员是否需要进行单独的研发安全能力提升，并以此对每个研发人员的研发安全能力级别进行动态调整。通过上述方法，可对研发团队中每一个体的研发安全能力进行差异化评估和有针对性的提升，避免对不需要的人员进行重复性的能力提升培训，从而不仅可有效提高每个研发人员的研发安全能力，还有效提升了培训效率。

另外，本发明还公开一种软件研发安全能力动态评估和提升系统，如图3，其包括具有全生命周期管理架构的软件安全研发平台，软件安全研发平台包括存储模块、处理模块10和操作终端。软件安全研发平台中集成有与之通过数据接口通信连接的研发任务管理工具11和若干类安全测试工具12，具体地，在软件安全研发平台中，研发任务管理工具11和若干类安全测试工具12与处理模块10通信连接。软件安全研发平台可动态获取安全测试工具12检测到的安全漏洞信息和研发任务管理工具11中的任务分配信息，并将获取到的安全漏洞信息推送给研发任务管理工具11；软件安全研发平台上还设置有与处理模块10通信连接地评估模块13和资料推送模块14；评估模块13，用于通过动态统计任一研发人员的任务分配信息，并根据任务分配信息中被分配到的漏洞处理的频率和类型评估该研发人员的研发安全能力，以判断该研发人员是否需要被定义进入安全能力提升阶段；推送模块14，用于向进入安全能力提升阶段的研发人员推送与该研发人员的安全能力缺陷相适配的定向能力提升资料。

进一步地，软件安全研发平台上还设置有与处理模块10通信连接地分级模块15和级别调整模块16，分级模块15用于通过自定义的研发安全能力等级对研发人员的安全能力进行分级表示，级别调整模块16用于根据任务分配信息中被分配到的漏洞处理的频率和类型对研发人员的研发安全能力等级进行动态调整。

较佳地，定向能力提升资料包括学习资料和考核资料，当研发人员进入安全能力提升阶段后，仅当该研发人员通过考核资料的考核后，级别调整模块16对该研发人员的研发安全能力等级重新进行动态评估。

较佳地，当研发人员通过考核资料的考核后，评估模块13监控该研发人员在一定时间内是否被分配相同类型的漏洞处理任务，如果是，重新定义该研发人员进入安全能力提升阶段。

关于本实施例中软件研发安全能力动态评估和提升系统的工作原理和工作过程详见上述软件研发安全能力动态评估和提升方法，在此不再赘述。

本发明还公开一种软件研发安全能力动态评估和提升系统，其包括一个或多个处理器、存储器以及一个或多个程序，其中一个或多个程序被存储在存储器中，并且被配置成由一个或多个处理器执行，程序包括用于执行如上所述的软件研发安全能力动态评估和提升方法的指令。

另外，本发明还公开一种计算机可读存储介质，其包括测试用计算机程序，计算机程序可被处理器执行以完成如上所述的软件研发安全能力动态评估和提升方法。

以上所揭露的仅为本发明的优选实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明申请专利范围所作的等同变化，仍属本发明所涵盖的范围。

Claims (10)

1.一种软件研发安全能力动态评估和提升方法，其特征在于，包括：

基于软件安全研发平台进行软件研发，所述软件安全研发平台具有全生命周期管理架构；

所述软件安全研发平台中集成有与之通过数据接口通信连接的研发任务管理工具和若干类安全测试工具；

所述软件安全研发平台动态获取所述安全测试工具检测到的安全漏洞信息和所述研发任务管理工具中的任务分配信息，并将获取到的所述安全漏洞信息推送给所述研发任务管理工具；

动态统计任一研发人员的所述任务分配信息，根据所述任务分配信息中被分配到的漏洞处理的频率和类型评估该研发人员的研发安全能力；

当研发人员的研发安全能力低于设定目标时，定义该研发人员进入安全能力提升阶段，针对该研发人员的安全能力缺陷，向其推送定向能力提升资料，所述定向能力提升资料为与当前研发人员所缺失的研发安全能力所对应的能力提升资料。

2.根据权利要求1所述的软件研发安全能力动态评估和提升方法，其特征在于，通过自定义的研发安全能力等级对研发人员的安全能力进行分级表示，根据所述任务分配信息中被分配到的漏洞处理的频率和类型对研发人员的所述研发安全能力等级进行动态调整。

3.根据权利要求2所述的软件研发安全能力动态评估和提升方法，其特征在于，所述定向能力提升资料包括学习资料和考核资料，当研发人员进入安全能力提升阶段后，仅当该研发人员通过所述考核资料的考核后，对该研发人员的研发安全能力等级重新进行动态评估。

4.根据权利要求3所述的软件研发安全能力动态评估和提升方法，其特征在于，当研发人员通过所述考核资料的考核后，监控该研发人员在一定时间内是否被分配相同类型的漏洞处理任务，如果是，重新定义该研发人员进入安全能力提升阶段。

5.一种软件研发安全能力动态评估和提升系统，其特征在于，包括具有全生命周期管理架构的软件安全研发平台，所述软件安全研发平台中集成有与之通过数据接口通信连接的研发任务管理工具和若干类安全测试工具，所述软件安全研发平台可动态获取所述安全测试工具检测到的安全漏洞信息和所述研发任务管理工具中的任务分配信息，并将获取到的所述安全漏洞信息推送给所述研发任务管理工具；所述软件安全研发平台上还设置有评估模块和资料推送模块；

所述评估模块，用于通过动态统计任一研发人员的所述任务分配信息，并根据所述任务分配信息中被分配到的漏洞处理的频率和类型评估该研发人员的研发安全能力，以判断该研发人员是否需要被定义进入安全能力提升阶段；

所述推送模块，用于向进入所述安全能力提升阶段的研发人员推送与该研发人员的安全能力缺陷相适配的定向能力提升资料，所述定向能力提升资料为与当前研发人员所缺失的研发安全能力所对应的能力提升资料。

6.根据权利要求5所述的软件研发安全能力动态评估和提升系统，其特征在于，所述软件安全研发平台上还设置有分级模块和级别调整模块，所述分级模块用于通过自定义的研发安全能力等级对研发人员的安全能力进行分级表示，所述级别调整模块用于根据所述任务分配信息中被分配到的漏洞处理的频率和类型对研发人员的所述研发安全能力等级进行动态调整。

7.根据权利要求6所述的软件研发安全能力动态评估和提升系统，其特征在于，所述定向能力提升资料包括学习资料和考核资料，当研发人员进入安全能力提升阶段后，仅当该研发人员通过所述考核资料的考核后，所述级别调整模块对该研发人员的研发安全能力等级重新进行动态评估。

8.根据权利要求7所述的软件研发安全能力动态评估和提升系统，其特征在于，当研发人员通过所述考核资料的考核后，所述评估模块监控该研发人员在一定时间内是否被分配相同类型的漏洞处理任务，如果是，重新定义该研发人员进入安全能力提升阶段。

9.一种软件研发安全能力动态评估和提升系统，其特征在于，包括：

一个或多个处理器；

存储器；

以及一个或多个程序，其中一个或多个程序被存储在所述存储器中，并且被配置成由所述一个或多个处理器执行，所述程序包括用于执行如权利要求1至4任一项所述的软件研发安全能力动态评估和提升方法的指令。

10.一种计算机可读存储介质，其特征在于，包括测试用计算机程序，所述计算机程序可被处理器执行以完成如权利要求1至4任一项所述的软件研发安全能力动态评估和提升方法。

Images