研究

总览工作组研究成果研究专家参与调研

分类筛选

全部研究成果

2025.04.09

《AI模型风险管理框架》探讨了模型风险管理在AI模型应用任开发、部署和使用方面的重要性，适用于对该主题有兴趣的读者群体，包括直接参与AI开发的从业者以及专注于AI治理的业务和合规监管机构。本报告强调了与AI模型相关的内在风险，如数据偏见、事实性错误或信息不相关（通常被称为“幻觉”或“虚构”）、以及潜在的滥用行为。同时，提出了一个全面的MRM框架的需求，该框架基于四个相互关联的支柱：模型卡片（ModelCards）、数据手册（DataSheets）、风险卡片（RiskCards）和场景规划（ScenarioPlanning），上述支柱协同工作，通过持续的反馈循环来识别和减轻风险，并改进模型开发与风险管理。具体而言，模型卡片和数据手册为风险评估提供信息，风险卡片则指导场景规划，场景规划进一步优化风险管理和模型开发。

查看详细

《DevSecOps 的六大支柱：协作与集成》

2025.04.03

DevSecops 是基于 Devops 的安全敏捷化的一场变革，其中 DevOps 名著《加速:企业数字化转型的 24 项核心能力》中第 22个能力要求即是协作能力，协作是支持和促进团队之间的合作，反映了传统上孤立的团队在开发，运营和信息安全方面的互动程度。其中第3个能力要求即是集成能力,集成能力是实现持续交付的第一步。这是一种开发实践。本报告以在 Devops 中引入安全性为起点，由浅入深地介绍基于 Devops 的安全开发生命周期,需要在每个阶段充分地理解软件生命周期各阶段的安全都需要人员、文化、流程和技术的组合推进。安全的本质是一项团队运动，需要各种组织角色之间的全面协作，包括业务领导者、领域专家、安全人员、架构师、软件开发人员、渗透测试人员、SOC 分析师和产品/项目经理。

查看详细

《零信任指导原则》

2025.04.03

零信任（ZT）是一种战略思维模式，对于组织而言，在数字化转型以及其他旨在增强组织安全性与弹性的工作中，采用零信任理念极具价值。然而，由于安全行业内信息混杂且缺乏统一标准，零信任常很容易被误解也容易被过度复杂化。事实上，零信任是基于一些长期存在的原则，随着我们工作和生活方式的改变，这些原则变得愈发关键，例如远程办公、对第三方依赖的增加、云计算的采用，以及机器学习（ML）、自然语言处理（NLP）和大语言模型（LLM）等人工智能（AI）技术的广泛和加速应用。本文档旨在填补这些空白，通过梳理基本原则，包括诸如最小权限原则、职责分离原则和分段原则等既定的信息安全（InfoSec）原则，来阐明零信任理念。这些指导原则将在所有零信任支柱、不同的应用场景、环境和产品中都将保持一致。随着行业的发展，本指南也会不断演进。

查看详细

《Kubernetes安全指南》

2025.01.17

《Kubernetes安全指南》参考了Kubernetes官方文档，简要介绍了Kubernetes的主要组件，帮助不熟悉Kubernetes集群的从业人员初步了解其组件及功能。此外，指南基于Kubernetes的技术架构和基本组件，结合ATT&CK模型，深入探讨了Kubernetes平台的攻防技术，并通过攻击矩阵从攻击者的角度列举了Kubernetes可能存在的风险，结合实例使内容更加直观，提供了应对安全挑战的详细分析和防御策略。此指南适合一线安全人员使用。

查看详细

《云计算关键领域安全指南v5》

2025.01.10

《云计算关键领域安全指南》由云安全联盟（CSA）于2009年首次发布，成为了全球实施云安全的必备手册，为云计算用户、服务提供商及安全专家提供实用的安全策略，帮助他们在快速变化的云环境中有效地实施安全控制和防护措施。作为 CSA 云安全知识认证（CCSK）国际网络安全认证的官方学习材料，云安全指南已被翻译成六种语言，成为全球网络安全从业者的经典教材。目前已更新至《云计算关键领域安全指南 v5》。在前几版的基础上，云安全指南v5 对技术进展和新兴安全威胁进行了全面更新。特别是在云原生技术快速发展的背景下，指南强化了云原生安全措施，并融入AI、零信任等新兴安全技术/理念，为云安全3.0（智能云安全）的快速发展提供理论指导和实践指引。

查看详细