专题演讲嘉宾：盛锦辰

金融科技在发展的同时也面临诸多挑战，包括网络安全风险、应用代码安全风险、供应链软件安全风险在内的科技风险治理就是一个需要重点攻关的课题。

大多数金融科技企业都已根据自身情况初步建立了软件安全研发生命周期流程体系（SDL/DevSecOps），以期通过研发过程中识别和消除大部分安全风险。如何全方位、系统化的高效识别研发流程中的各类安全风险，提升安全研发管控流程的数字化水平，整个行业都在探索技术方案上的创新和突破。

复杂的支付业务场景往往具有较长的逻辑链路，传统安全工具难以进行自动化理解和风险全面扫描识别。安全风险的发现和处置非常倚赖研发工程师、安全工程师的意识、经验和人力投入，风险覆盖度无法系统性保障，安全生产效率也难以提升。在落地SDL体系的过程中，我们曾被这个问题长期困扰。最终我们引入图计算等技术手段，升级构建了一套新的安全研发流程平台与工具体系，较好的解决了这个难题。

在新的工具体系中，我们使用动静态程序分析技术对单个应用进行了完整地业务抽象建模，设计了以业务场景风险数据为主体的图数据库，构建代码调用链路图和数据流转链路图对业务逻辑进行准确刻画。在此基础上，我们将安全专家的经验和已有安全漏洞案例抽象为图数据库的风险查询规则，专家的经验转化为图数据库计算能力，实现了工程师与自动化工具的高效协同。

我们正在支付宝实践与落地这套平台与工具体系，并以此为基础构建了核心安全风险指标体系，形成较为全面的安全风险图谱，全面提升了科技风险识别能力和处置水平。

演讲提纲：

1. 安全研发生命周期体系的技术挑战和痛点

2. 破局：构建图计算驱动的新一代安全研发工具体系

• 基于程序分析技术的业务抽象建模
• 构建业务场景风险数据为主体的图数据库
• 构建高效、高精度跨应用时序链路的探索能力

3. 实战应用案例

• 基于可视化链路的场景识别与风险评估过程
• 基于数据流转链路的内容安全风险识别

4. 安全研发体系的未来

你将获得：

• 在复杂组织中落地软件安全研发流程体系的实践经验
• 如何结合程序分析、图数据库技术实际解决安全风险评估痛点问题的实践经验