IDC Innovator | 悬镜安全入选IDC DevSecOps技术创新者

国际数据公司IDC是在信息技术、电信行业和消费科技领域，全球领先的专业的市场调查、咨询服务及会展活动提供商，帮助 IT 专业人士、业务主管和投资机构制定以事实为基础的技术采购决策和业务发展战略。在全球拥有超过1100名分析师，为110多个国家的技术和行业发展机遇和趋势，提供全球化、区域化和本地化的专业意见。

IDC认为，随着数字经济的快速发展，未来将有越来越多的企业转型为软件生产商，而软件也将推动企业在未来激烈的市场竞争中保持创新能力并建立优势地位。企业正在不断压缩软件开发时间、提升产品迭代更新的速度，同时降低应用程序的潜在脆弱性，而全球软件规模、数量和应用场景的激增，日益丰富的开源组件供应链，以及应用程序更新频率的加快，必然对软件产品的安全性，以及如何快速、准确和低成本地发现和处置潜在安全风险，提出更严苛的挑战。因此，DevSecOps理念应运而生，伴随着“安全左移”理念成为软件行业的共识，DevSecOps将成为帮助企业实现原生安全的重要助力。

在这一背景下，IDC发布报告来帮助IT技术购买者在选择技术供应商时，发现最新的IT技术，并找到新产品的评估方法。本次报告的评选标准包括厂商提供的技术创新能力、开创性的商业模型以及IDC创新者审查小组审核结果，从产品技术、行业和客户、生态系统建设以及未来发展战略等多方面对DevSecOps领域的公司进行了全面且深入的调研，并最终选择悬镜安全成为IDC中国DevSecOps技术创新者。

图2：内容来源:全球领先的IT研究和咨询公司IDC《IDC Innovators: 中国DevSecOps技术，2022》报告

谈到入选原因，IDC表示，身处DevSecOps赛道的产业安全服务商悬镜更专注于把安全能力贯穿企业用户整个SDLC业务生命周期的每个环节，要求开发、测试、运营一体化，从而帮助用户构建起适应敏捷开发模式的新一代应用安全体系。数字经济时代，软件供应链安全保障工作已从关注开发安全进化到安全地开发。安全正在成为一个企业数字化的基本属性。新时代的安全运营既“安全左移”，从开发源头侧规避掉各种中高安全风险，进而实现更高效的前置安全治理；又要“敏捷右移”，在云原生时代结合企业数字化业务发展实情和IT进化趋势搭建更加有效的内生积极防御体系。这正是悬镜安全主打的原创专利级“代码疫苗”技术所能实现的。顾名思义，就是把这项技术像疫苗一样注入到应用服务器内部，在内部清晰看到解析后的流量，感知业务运行过程的情境上下文。这样一来，既能诊断应用自身存在的漏洞和缺陷，也能积极防御外部危险，进行自主检测和响应。

IDC最近的调查数据显示，在所有受访企业中，2021年发布新产品功能的准备时间为一个月或更短的企业比例为90.5%，这一比例在2020年仅为64.5%；而在1-2周内交付新功能的企业比例相比2020年翻了一番。同时，有超过50%的企业表示他们在过去的12个月内遇到了违规行为，其中38%的企业承认他们经历了多次安全漏洞，而增加代码扫描频率被认为是在短期内减少安全风险的行之有效的方法。

这使得软件开发者不能再像以往一样将软件的安全测试置于开发流程的末端，而是需要实践DevSecOps，通过全新的方法论和配套工具链将安全能力嵌入到整个DevOps体系中，以提供准确、安全的开发结果，从而增强软件的安全性、合规性，并有效降低解决安全问题的成本，同时不耽误软件更新的交付。此外，DevOps团队对提高安全知识和技能的需求也被提升为优先事项，这表明企业不仅在寻找DevSecOps工具，获得安全编码实践的培训也很重要。

悬镜安全在DevSecOps软件供应链安全领域，拥有的数十项涉及原创“代码疫苗”、“积极防御”的专利级核心技术和智能算法，既能诊断应用自身存在的漏洞和缺陷，也能积极防御外部未知威胁，实现数字化应用出厂自免疫，并结合多年的敏捷安全落地实践经验和软件供应链安全研究成果，探索出一套基于原创专利级“敏捷流程平台+关键技术工具链+组件化软件供应链安全服务”的第三代DevSecOps智适应威胁管理体系。

图3：悬镜第三代DevSecOps智适应威胁管理体系

该体系作为DevSecOps全流程敏捷安全赋能平台，从构筑之初就注重技术落地的柔和低侵入性，从驱动DevSecOps CI/CD管道持续运转的几大关键实践点入手，通过对威胁建模、开源治理、风险发现、威胁模拟及检测响应等关键技术创新赋能企业组织现有人员，已成功帮助上千家行业标杆用户构筑起一套适应自身业务弹性发展、面向敏捷业务交付并引领未来架构演进的内生积极防御体系。

当前，悬镜安全的企业客户包括中国人民银行、中国银联、中国银行、中国工商银行、浦发银行、浙商银行、中国平安、重庆银行、广州农商银行、苏州农商银行、SHEIN、中信建投证券、上海证券交易所、中国石化、中国石油、中国电信研究院、中国移动研究院、中体彩、人民网、国家电网、北京大学、中兴通讯、中国工程物理研究院、小鹏汽车、东风日产、长安汽车、中国汽车研究院、南方航空、顺丰速运、唯品会等众多行业标杆用户。中国信通院权威发布的《中国DevOps现状调查报告》（2021）显示，悬镜IAST技术占据市场应用率第一。

IDC认为，相较于DevSecOps领域的其他厂商，悬镜的差异化优势体现在以下两个方面：

1. 实施“单探针”策略，构筑行业技术壁垒。DevSecOps智适应威胁管理体系所覆盖的悬镜灵脉IAST灰盒安全测试平台具备广泛的开发语言覆盖和精准的检出率；云鲨RASP自适应威胁免疫平台具备高检出率、低误报率及柔和嵌入现有DevOps体系等创新性，并实施“单探针”策略，用户只需要在应用中部署一次探针就能获得进阶版的IAST和RASP双重能力。

2. 打造“生态护城河”，持续赋能软件供应链安全可信生态。悬镜安全联合更多生态伙伴在软件供应链安全、DevSecOps敏捷安全、云原生安全等前沿自主创新技术领域开展全面合作，从联合技术研究、解决方案设计、产品服务体系建设、规模化服务投放、全国市场开拓等多个维度互信互促，利用各自优势、技术能力共同赋能行业用户数字化建设，携手共同推动中国软件供应链安全生态产业全面发展。

IDC表示，软件的快速开发和迭代给安全问题留下隐患，尤其是考虑到当前大多数企业的安全团队成员与开发人员的比例失衡，通过DevSecOps方式使安全成为软件开发过程的组成部分，同时提高员工安全意识显得尤为重要。数字化转型企业需要克服文化阻力、协作和技能障碍，增强采用DevSecOps的紧迫感。

悬镜安全作为DevSecOps敏捷安全领导者和关键技术开拓者，肩负如何更好指引软件供应链安全和DevSecOps行业未来关键技术演进的重任，并持续帮助甲方用户更好地拥抱变化，更快速地适应云原生技术普及，做好内生敏捷安全，并致力于将自身在金融电商、泛互联网、车联网、能源等行业沉淀的关键技术能力更加高效地规模化复制给广大中小用户。

扫码关注“悬镜安全”官微，获得更多精彩资讯～