云计算开源产业联盟：TSM可信研发运营安全能力水位图2.0（2025）（62页）.pdf

1、 TSM可信研发运营安全能力成熟度可信研发运营安全能力成熟度水位图水位图报告报告（2025年年）云计算开源产业联盟云计算开源产业联盟 OpenSource Cloud Alliance for industry，OSCAR 2025年年7月月 版权声明 本报告版权属于云计算开源产业联盟，并受法律保护。转载、摘编或利用其它方式使用本报告文字或者观点的，应注明“来源：云计算开源产业联盟”。违反上述声明者，本联盟将追究其相关法律责任。报告在编写过程中，历经概念策划、提纲设计、内容起草、征求意见等阶段，得到了中国信息通信研究院云计算与大数据研究所、华为技术有限公司、招商银行股份有限公司、中国民生银行股

2、份有限公司、重庆长安汽车股份有限公司、天翼安全科技有限公司、中电科网络安全科技股份有限公司、湖南数据产业集团有限公司、金蝶软件（中国）有限公司、用友网络科技股份有限公司、软通动力信息技术（集团）有限公司、浪潮通信信息系统有限公司、上海爱数信息技术股份有限公司、深信服科技股份有限公司、北京信安世纪科技股份有限公司、科大讯飞股份有限公司、北京优锘科技股份有限公司、深圳星网信通科技股份有限公司、北京数字冰雹信息技术有限公司、北京图盟科技有限公司、南京奥看信息科技有限公司、北京凌云雀科技有限公司、北京博能科技股份有限公司、北京永洪商智科技有限公司、上海宇高通讯设备有限公司、中软国际科技服务有限公司、三

3、未信安科技股份有限公司、北京安博通科技股份有限公司、杭州孝道科技有限公司、北京天融信网络安全技术有限公司的大力支持，在此一并致谢。引引 言言“安全左移”理念已诞生多年，安全左移强调进行安全早期介入，贯穿软件服务全生命周期，一方面将实现风险安全可控，做到风险漏洞早发现、早修复，降低成本，提高收益；另一方面将反向推动企业建立安全文化，提升研发、运营、安全团队协作意识。报告编写团队依据可信研发运营安全能力成熟度模型标准持续开展 TSM 评估工作，在积累一定样本量之后，于 2023 年分析评估细节，首次编写TSM 可信研发运营安全能力水位图报告。今年针对报告内容进行更新，形成TSM 可信研发运营安全能

4、力水位图报告2.0 版本。2.0版本报告进一步洞察安全开发全生命周期的关键活动与技术演进，提出更加具有针对性和实用性的解决方案。本报告旨在绘制 TSM 整体评估水位图，为企业提供参考，同时帮助企业对标业界优秀实践，将自身安全能力量化，探索构筑符合企业自身情况的全生命周期研发运营安全体系，提升企业产品市场竞争力。报告首先明确 TSM（全称：Trustworthy evaluation of Security maturity Model）可信研发运营安全能力成熟度工作背景，梳理国内外研发运营安全现状并介绍可信研发运营安全能力成熟度工作概况。其次，从五大领域十七类子项详细介绍 TSM 水位图构成，

5、明确水位图绘制依据，指出 TSM 水位图助力企业明确安全现状，完善改进计划。再次，报告团队对 30 余家企业 TSM 评估情况进行分析，指出目前企 业研发运营安全体系建设短板与优势，并与 1.0 版本水位图进行比对分析。此外，报告从人员、流程、技术三个层面洞察安全开发全生命周期的关键活动与技术演进。最后，报告团队也将从丰富行业数据、完善水位图考察指标、扩大评估样本数量建立用户反馈机制四方面持续完善TSM 可信研发运营安全能力水位图报告，助力业界可信安全生态建设。目目 录录 一、整体概述.1（一）研发运营安全问题凸显，影响广泛.1（二）TSM 可信研发运营安全能力成熟度相关工作介绍.3 二、TS

6、M 水位图介绍.6（一）TSM 水位图框架：覆盖软件开发全生命周期，划分为 5 大领域 17类子项.6（二）TSM 水位图作用：助力企业量化安全建设能力，明确改进计划.8 三、TSM 水位图结果分析.9（一）评估参与企业.9（二）TSM 水位图结果.12（三）TSM 水位图结果分析.15 四、可信研发运营安全关键活动演进.21（一）人员层面：安全文化建设与协同机制逐步完善.21（二）流程层面：从阶段管控到自动化常态化跃进.25（三）技术层面：实现从被动响应到安全前置的能力升级.28 五、下一步工作计划.28 附录 1：TSM 水位图活动详解.33 附录 2：TSM 企业能力自评表.52 图图