对安然开辟必然要有一套成熟度模型，例如公司刚开端做的时辰定义的级别可以低一些，可做的工作要少一些。可是跟着谙练程度的增加和大年夜家对安然开辟的理解的加深，慢慢加深高级别的安然成熟度模型。
下面就简单介绍一下我心中的成熟度模型的相干节制，未分级大年夜家可以依托公司本身的特点来进行弥补。
1. 治理安然节制
1.1 成立安然职责，方针就是组织中都明白本身的职责和责任
工作内容：
a) 组织安然机构组织架构图例如信息安然委员会等等，这里必然要寄望安然机构必然级别足够的高，例如属于董事会或CEO下面
b) 文档化安然角色，职责，责任和授予甚么样的权限
1.2 治理安然建设
工作内容:
a)系统中所有软件的更新记实，包管呈现标题问题可以很快的追踪到相对应的版本和回退
b)系统中所有标题问题标bug记实和安然标题问题记实如许可以很好的知道现有系统所存在的风险
1.3 安然意识、培训
工作内容:
a) 安然意识、培训的内容的有效性
b)跟踪用户对培训和意识课程的理解
c)培训和安然意识课程的资料汇集，必然要来历与内部，当然也能够来历于外面的安然事务
1.4 治理安然列表
工作内容:
a) 汇集保护和各个系统的日记
b) 敏感资产的具体清单
c) 安然节制掉效的启事和解决方案
1.5 风险评估
工作内容：
a) 辨认安然运维过程中的风险
b) 辨认安然开辟过程中的风险
c) 定义组织内统一的安然怀抱尺度
2.调和组织内的安然角色
2.1 定义调和的最终方针
工作内容:
a) 信息共享的路子，例如安然部门必然要成立缝隙治理数据库包管研发、运维部家世一时候获得这些信息，最首要的是要获得他们的响应，从这些响应中获得相对应的流程，进而鞭策了安然部门的地位，最首要的是包管了安然标题问题第一时候获得修补。
b) 各个部门定义安然员，如许做的目标可让他们在内部帮我们鞭策安然相干流程。
2.2 调和机制
工作内容:
a) 必然要按期或非按期的进行安然沟通，如许做的目标是第一时候获得他们对安然的理解和熟谙，假定他们呈现弊端的熟谙我们要及时的进行更正，让他们可以遵循我们的设法走
b)必然要寄望跟外部安然专家和安然公司的交换，如许做可以第一时候获得最新的安然缝隙和安然解决方案
3. 组织内部成立安然监控
3.1 事务记实
工作内容:
a) 必然要记实到每个安然事务的具体内容，如许做可以构成组织内部的标题问题治理库。组织第一次产闹事务的时辰可能马慌脚乱，可是有了如许的过程发现一样标题问题标时辰可以很好的获得第一时候解决
b) 安然事务的具体阐发和回纳，目标是分类安然事务构成相对应的响应团队。
3.2 级别安然突发事务
工作内容:
a) 必然要事前定义好突发事务的清单，如许做的目标是防患于未然。
b) 按照上面的清单来列出相对应的突发事务的响应手册
c) 突发事务的逐级陈述，有的部门怕担责任隐瞒事务的风险，如许做的风险很是大年夜，高层不体味安然危险，他就不克不及做好很好的决定计划。
3.3 定义查抄安然防御办法
工作内容：
a) 按期查抄WEB安然防御办法
b) 按期查抄把持系统安然办法
c) 按期查抄收集安然办法
d) 按期查抄人员安然办法
3.4 突发事务响应内容
工作内容:
a) 系统优先恢复的列表，首要的系统获得DDOS或其他首要报复打击的时辰先要恢复那些列表。
b) 应急响应打算，定义突发事务的响应打算，按期非按期进行练习训练。
4. 安然组供给相对应的安然建议
4.1 供给安然编码建议
工作内容：
a) 安然设计原则，安然编码规范和威胁建模、威胁树阐发
b) 定义安然系统架构和查找对应的信赖关系，侧重寄望信赖关系，因为信赖关系是最等闲呈现标题问题标处所
4.2 供给安然运维指南
工作内容：
a) 安然加固手册
b) 安然流程风险阐发和对应的解决方案
4.3 辨认安然需求
工作内容：
a) 按照需求文档获得安然需求列表
b) 寄望隐私呵护和法令律例的限制
c) 实现统一的安然防御办法，这里首要目标是针对一类标题问题进行统一的措置
5. 验证
5.1 验证安然编码缝隙
工作内容：
a) 操纵owasp ASDR进行威胁阐发，同时编写对应的安然测试手册
b) 操纵上线前查抄来测试相对应的风险
c)测试框架类安然例如Spring,Struts和zendframework和其他相干的MVC架构
5.2 验证系统安然缝隙
工作内容:
a) 操纵相对应的框架来进行系统安然缝隙查抄，例如OSSTMM,ISSAF等框架
5.3 验证收集缝隙
工作内容:
a) 操纵相干的测试东西来进行验证收集缝隙
因为安然开辟的工作很是多，所以我只是大年夜概写了一些关头点，这些关头点展开的话工作量那是相当的大年夜啊，所以包管一个软件或WEB法度的安然运行尽非一朝一夕简简单单的