摘 要：数字时代，数据是企业发展的核心生产要素，也是驱动业务的关键，对于研发型企业而言，核心数据资产就是源代码，随着数字信息化的全面推进，面对来自外部和内部的安全风险，以及国家层面相关的政策法规的合规要求，传统的开发环境已经很难适应新时代的步伐，建设科学有效的防护体系，是研发型企业获得持续创新和市场竞争力的有力保障。

一、传统研发环境面临的一些问题

（一）研发环境数据防泄密

传统PC的研发模式，项目开发中的源代码和技术文档等存放在本地硬盘，无法实现统一的存储管理，且开发人员可通过网络或存储介质拷贝等轻易带走各种项目成果，容易造成数据泄密的风险，数据的安全性得不到有效的保障。

（二）外包人员安全管理

企业根据业务扩展的弹性需求，结合经营成本，一般都会聘请外包人员来解决人手不足的情况。由于外包人员存在很多不确定的因素，人员的稳定性、权限管理等，所以做好外包人员的安全管理，也是传统研发企业的难题。

（三）研发环境的快速部署

传统PC+服务器虚拟化模式，软件研发测试的环境部署非常耗时，一般都需要依托运维部门逐台搭建开发测试环境，资源的回收重复利用率也低、不够灵活，影响软件研发测试效率和项目进度，同时运维成本高，无法统一管理。

（四）研发环境配套安全管控

软件开发全生命周期过程中，如何确保依赖组件安全，如何确保使用的组件没有安全漏洞和法律风险，缺乏统一规范的管理。

（五）远程开发的安全管理

疫情等不定因素情况下，如何确保研发人员接入研发环境，兼顾数据安全的情况下，完成开发、测试工作，尽可能减少对业务的影响。

（六）分支机构研发环境协同管理

很多研发企业存在多分支机构研发中心，如何确保分支机构和母公司之间协同办公的便利性和安全性。

二、研发环境安全管理实践探讨

每家研发型企业的业务模式、研发模式、环境场景都是不同的，相对于安全的需求也是不同的，需要结合实际情况制定出一套符合自身企业的安全管理方案，但保护企业核心资产安全的出发点，大家应该都是一样的。在外部威胁和合规要求的驱动下，我们也是在一条以保护核心资产为基础、业务与安全相平衡的道路上不断的探索前进。

研发环境的安全管理，首先企业内部需要定一个基础的安全的原则，我们认为只要是能连通互联网的设备或者区域就是不安全的，结合国家合规层面数据安全法、数据分级分类指引、数据安全管理与保护指引等要求，通过分析企业内部不同的应用场景，数据的重要等级、业务的重要程度，融合安全纵深防御的理念。在基础安全架构层面划分了三个不同等级的安全域，分别为高敏区、中敏区、低敏区，综合安全和业务之间的平衡，定位了各区域的功能属性：

高敏区：属于高信息安全等级环境，以安全为优先，用于隔离保护公司具有重要意义的关键产品/项目/技术

中敏区：属于中信息安全等级环境，安全与效率平衡，用于隔离保护公司需要防护的产品/项目/技术

低敏区（办公区）：属于低信息安全等级环境，以效率为优先，用于企业日常办公和互联网业务需求

图1 企业安全区域划分

跨区域间的网络控制采用增强型逻辑隔离的方式，跨区域间的数据传输只能通过数据安全摆渡的方式，数据在跨区域间传输可结合业务实际情况、数据的重要等级设置对应的审批机制，其实可以理解为各区域间的数据传输用的就是带审批功能的网闸，敏感数据跨区传输需要有脱敏的环节。高敏区和中敏区不能连通互联网，企业的研发基本都属于中敏区和小部分的高敏区，原则上核心业务不能使用外包，外包人员默认只能在中敏区开发环境，根据对应的访问权限，执行开发任务。如有特殊情况需经相关部门就合理性和必要性做相关的风险评估。

研发环境基础资源建设，通过在企业内部部署云桌面+云服务平台的方式，利用虚拟化计算、存储、网络的超融合技术和统一的云管理平台，构建安全稳定、易扩展、易管理的企业内部私有云。整个建设方案的特点，整体资源的高可用性，支持虚机故障自动迁移、多副本分布式存储确保数据的可靠性、基于SDN + 堆叠的网络高可用。建设方案的优势，平台的易扩展性，后续随着业务的变化，资源的扩充只需要增加服务器进相应的节点，但需要注意的是服务器的兼容性。资源的快速发放简化运维，当研发人员需要增加云桌面资源时，只需要通过云管理平台统一或批量下发即可，当研发人员申请服务器资源时，云管理平台可提供几种场景的资源供研发人员选择后快速部署发放，同时当资源不使用时，管理人员可以对资源做快速的回收处理，避免资源浪费。

通过云桌面的模式保障数据的不落地，所有的数据都是存储在企业内部私有云，同时通过云桌面外设管控，不允许通过存储介质等设备将数据拷出，所有跨区域间的数据传输都需要通过数据摆渡的模式，审批通过后才能进行数据传输，数据摆渡同时支持审计记录，方便后期溯源。研发人员可通过TC瘦终端或是笔记本的模式接入云桌面、同时云桌面支持桌面水印功能，威慑防止截屏。

在中敏区和高敏区里面，我们也会有对应研发的通用资源，通过登录云桌面就能访问的公共资源。但由于区域内研发人员，他们可能属于不同的部门、项目组，或是不同的产品线，对业务服务器的访问有不同的权限要求，这种情况之下，通过云平台基于租户的管理模式，自定义隔离不同部门、项目组或是产品线之间的网络通信。在高中低三区安全域隔离的情况下，每个单独区域内部进一步实现了微隔离。

软件研发过程中，难免需要用到外部的依赖组件，通过建设企业统一可信源的制品库，规范研发过程中依赖组件的安全性。防止下载的开源组件有漏洞，或是组件可能有的法律风险。由于研发人员所属的区域是不能连互联网的，为了确保运维自动化和效率问题，通过办公区和高中敏区部署多级制品库的方式，办公区部署制品库源从指定的互联网源拉取数据，经制品安全扫描后，选择满足企业对开源组件漏洞安全和许可证合规性方面管控要求的产品后，通过对接区域间数据摆渡系统提供的安全API接口，传入企业研发环境。

在实际的工作场景中，总有一些离不开远程办公的场景，研发人员出差、项目代码应急查阅、疫情时期等特殊情况。目前是通过VPN+云桌面的方式，后续考虑通过零信任SDP+云桌面远程办公的模式接入，结合SPA单包敲门的机制、多因素的认证管控，资源权限最小化的原则，在不影响业务进度的同时，保障数据的安全可控。

分支机构研发环境的协同管理，有时国内的分支机构需要和母公司接入同一组研发环境，目前我们是通过专线的方式，达到延申云桌面网络的效果，云桌面的传输是通过压缩的，所以带宽资源的消耗还是可以接受的，前提是云桌面虚机和测试环境之间不是两地部署。

从安全的角度来说，通过部署私有云配合区域管控的方式，实现了资产标准化的统一管理，通过统一各种操作系统、应用版本、安全基线管理，同时有效的收敛了风险暴露面，实现了数据不落地，安全管理的目标。

三、回顾与展望

在实践过程中我们也发现了很多后续待优化的方面，比如敏感数据传输通过DLP的赋能实现自动化，实际操作过程中，由于敏感数据的多样性，导致很难通过关键字或正则匹配、特征库等方式实现自动化的有效管控，跨区的数据传输还是依赖人工审核的方式，但人工审批还是存在一定的局限性，通过对摆渡数据的内容和描述，进行主观的判断，无法对通过技术手段刻意隐藏的数据做准确的判断；

云桌面水印的增强管控，云桌面数据虽然不落地，但还是可以通过拍照等方式留存，传统水印只是起到威慑的作用，相对于比较核心的数据，是否可以通过数字水印等方式加强水印的威慑性，在处理纠纷时可以提供有力的证据。

远程办公场景的安全性，虽然VPN可以通过终端检测，多因素认证等安全管控方式，但还是避免不了VPN接入时终端已经被远控的场景，虽然很多厂商目前支持通过专网的方式，但业务场景多样化，需要满足很多特定的互联网需求，比如需要支持带通配符的域名等，而且安全管控措施需要满足各种信创终端的适配等；

整体研发环境的安全防护目前还是通过传统的终端管控、入侵检测，多因素的认证机制、安全域隔离的方式，来抵御相关的安全风险。随着最近几年零信任理念的逐渐成熟，后续可以在基于边界防御的基础上，增加一些零信任的防护能力，比如基于UEBA的持续信任评估能力，毕竟一个人的身份可以伪造，但一个人的行为拟态是很难伪装的。

作者介绍

Cr3ek，某大型金融机构。

关于 安全村文集·证券行业专刊

证券行业自身低时延的业务要求以及业务中断的敏感性给安全防护带来了很大的挑战。专刊汇集了证券基金期货行业网络安全防护的最新经验、成果和解决方案，为大家分享一线安全规划、运营、建设的心得和实践经验。

关于 安全村

安全村始终致力于为安全人服务，通过博客、文集、专刊、沙龙等形态，交流最新的技术和资讯，增强互动与合作，与行业人员共同建设协同生态。

投稿邮箱：[email protected]

原文始发于微信公众号（安全村SecUN）：企业研发环境安全管理实践探讨｜证券行业专刊2·安全村