万强

（中国太平洋保险（集团）股份有限公司 上海市 200124）

安全开发生命周期（SDL）即SecurityDevelopment Lifecycle，是微软提出的从安全角度指导软件开发过程的管理模式。在传统软件开发生命周期的各个阶段增加了一些必要的安全活动，软件开发的不同阶段所执行的安全活动也不同，每个活动就算单独执行也都能对软件安全起到一定作用。SDL 流程的核心理念就是将安全考虑集成在软件开发的需求分析、设计、编码、测试和维护等各阶段。从需求、设计到发布产品的每一个阶段都增加相应的安全活动，以减少软件中漏洞的数量并将安全缺陷降低到最小程度。

伴随着移动互联和线上网销销售模式的成功应用,保险企业的线下柜面营销固定传统产品的销售模式由于手机、平板电脑等移动设备介入,而实现了“网上”向客户移动销售线上模式的转变,其他诸如投保、给付、变更、理赔等保险业务也通过自营网络平台载体，开展互联网保险业务。此外，各类企业内部E 端移动应用的广泛开发使用，也最大限度的利用了移动智能终端普及、5G 业务快速推广的先决条件。如何最大程度降低上述应用在开发自研过程中的安全漏洞，是必须面对和解决的问题。

1 保险企业应用安全现状及挑战

1.1 保险企业应用安全漏洞的主要源自开发

企业安全漏洞以应用程序漏洞为主，企业自主开发或委托第三方开发的应用程序，相对通用版商业软件，更易产生安全漏洞，更难发现和修复；……