.png)
结合安全风险债务的情境漏洞管理
内容提要
数字海洋在2022年重新设计了漏洞管理计划，引入了安全债务的概念，并取得了成功。他们将漏洞分配给业务部门，根据严重程度和解决时间计算安全风险的债务。这种方法激励了业务部门解决安全问题，提高了安排安全工作的自主权。数字海洋的漏洞管理模式得到了其他业务部门的采用，并取得了积极效果。他们的目标是更快解决重要的安全问题，减少对工程团队的干扰，并让工程和产品领导者成为安全工作的决策者。通过建立安全债务阈值来衡量每个业务部门的安全债务，并报告是否符合阈值。这种方法在数字海洋内部得到了广泛应用。
延伸解读
从SLA到安全债务：管理逻辑的转变
数字海洋放弃了传统的漏洞修复SLA，转而引入安全债务概念。SLA往往导致安全团队追踪单个工单，产生大量“安全输出”却未必降低实际风险。安全债务则根据漏洞严重程度和未修复时间计算债务值，使业务部门能够自主安排修复优先级。这种转变将安全责任从安全团队转移至产品与工程团队，同时通过债务阈值保持问责。
安全债务如何计算与运作
安全债务的核心是债务累积函数：漏洞每超过建议修复时限一天，就产生债务，且严重性越高累积越快。每个业务线设定债务阈值，安全团队报告各团队债务占阈值的比例。团队可自行查看仪表盘，了解哪些漏洞贡献了最多债务，从而优先处理高严重性、长期未修复的问题。这提供了前瞻性、可操作的指标，而非历史性的平均修复时间。
变革管理：倾听与共情是关键
数字海洋在推出安全债务计划前，进行了为期两个季度的倾听之旅，与产品、工程领导者沟通现有痛点，再提出新方案并收集反馈。这种强调影响而非强制推行的方式，使业务领导者直观理解债务概念，并主动接受。安全团队不再追逐个别团队或工单，而是作为合作伙伴提供支持。该模式的成功还促使其他部门采用类似方法，如可用性债务。
安全债务的局限与持续改进
安全债务并非万能。文章指出，确定各业务线的债务阈值需考虑业务关键性、团队安全能力及近期运营挑战等因素，没有统一答案。数字海洋设定了75%的初始 adherence 目标，两周后达到77%并提升至80%，最终目标为90%以上。该计划仍在持续监测和改进中，以寻求更高运营效率。这表明安全债务是一个动态平衡工具，而非静态规则。
Q&A
数字海洋如何重新设计其漏洞管理计划？
数字海洋在2022年重新设计了漏洞管理计划，引入了安全债务的概念，以更有效地管理安全风险。
安全债务的概念如何激励业务部门解决安全问题？
安全债务的概念通过将漏洞分配给业务部门，并根据严重程度和解决时间计算债务，激励部门主动解决安全问题。
数字海洋的漏洞管理模式取得了哪些积极效果？
数字海洋的漏洞管理模式得到了其他业务部门的采用，促进了安全问题的快速解决，减少了对工程团队的干扰。
如何衡量每个业务部门的安全债务？
通过建立安全债务阈值，衡量每个业务部门的安全债务，并报告是否符合该阈值。
数字海洋如何确保安全工作的自主性？
产品负责人可以自主处理漏洞修复，无需安全团队的逐一追踪，从而提高了安全工作的自主性。
安全债务系统如何促进技术团队的责任感？
安全债务系统通过提供灵活性和责任感的平衡，促进了技术团队对安全问题的主动管理和责任承担。
