- 目錄
第1篇 應用安全顧問崗位職責應用安全顧問職責任職要求
應用安全顧問崗位職責
安全顧問-應用安全方向 具體職責:
?在架構、設計和評審階段與開發團隊緊密合作。
?向開發團隊提供專業的安全指導和見解。具體的安全控制領域會涉及但不限于，安全的數據庫訪問，驗證方式，會話管理，加密技術，權限設計與訪問控制，安全測試，錯誤處理和日志，輸入驗證，安全存儲設計。
?根據應用系統生命周期安全管理要求，對所服務團隊互聯網系統進行安全風險評估，提出安全需求，并評估安全要求不能達到時的風險，向項目建議控制措施。;
?與開發團隊共同討論，確定安全功能設計方案，提供方案實現的具體建議，供開發團隊實現;
?確定應用系統的各階段安全測試方法、驗證方法，準備測試用例、工具，組織或實施安全測試;
?與開發團隊共同分析測試中發現的問題，提出建議，督促及時整改;
?向開發團隊傳授專業安全知識和技能;
?歸納總結開發中遇到的經驗和教訓，形成一致的安全標準、安全功能模塊，提高開發安全的保障水平。
?針對已使用技術和新技術，創建開發安全相關的規范、指引和實踐文檔。
?識別安全開發生命周期框架中需要改進和落實的領域，以進一步完善安全開發實踐和紀律，逐步建立安全的程序庫供開發人員使用。
?與其他安全顧問溝通和協作，相互支持，一致地優化安全實踐。
技能要求:
軟性技能:
?與人交互和影響的技能非常重要，該崗位需要與項目、開發團隊緊密協作，并能夠對改變和決策產生積極影響。
?口語、書面表達和溝通技能。
開發經驗:
?架構/實施:理想的候選人需要具備架構和實施(開發)企業級應用的經驗，并在組織中擔當過it崗位。
?軟件開發:這個崗位不是日常的程序開發崗位，成功的候選人應具備在商業環境下程序開發的經驗，尤其偏重于大型web應用開發項目。這需要掌握開發生命周期(sdlc)的知識和web安全的實踐(如owasp實踐集)。
?編程語言:理想的候選人應具備在實踐中使用不止一種開發語言的能力，如java， html5，perl， c/c++， c#， python。
?深入了解web技術和框架，如javascript， jsp/servlet/ejb， asp.net， php， http/http， cookies， ajax， flex/silverlight。
?移動平臺:熟悉ios和安卓平臺下的開發。
安全經驗:
?了解通常的應用層安全漏洞，能夠可以向開發人員講解漏洞的原理，風險和相應的控制。熟悉、實踐過主流應用安全實踐集如(owasp)，和移動安全領域的控制。
?能夠在開發過程中，評估安全相關的技術和功能性特性，識別威脅和脆弱的領域。具備參與設計階段的經驗。
?能夠從安全角度評審企業級應用的代碼，借助工具的結果向開發人員講解可能的安全漏洞。
?候選人應熟悉、實踐過安全相關的控制領域和措施，如身份驗證，權限，身份管理，數據保護，輸入輸出驗證，加密，軟件攻擊模型，安全的數據傳輸和存儲。
?具備使用動態漏洞評估和靜態漏洞評估工具，甚至滲透測試或其他安全測試工具的經驗。
其他:
?5年以上工作經驗。
?碩士(大公司多年經驗本科也可)
具體職責:
?在架構、設計和評審階段與開發團隊緊密合作。
?向開發團隊提供專業的安全指導和見解。具體的安全控制領域會涉及但不限于，安全的數據庫訪問，驗證方式，會話管理，加密技術，權限設計與訪問控制，安全測試，錯誤處理和日志，輸入驗證，安全存儲設計。
?根據應用系統生命周期安全管理要求，對所服務團隊互聯網系統進行安全風險評估，提出安全需求，并評估安全要求不能達到時的風險，向項目建議控制措施。;
?與開發團隊共同討論，確定安全功能設計方案，提供方案實現的具體建議，供開發團隊實現;
?確定應用系統的各階段安全測試方法、驗證方法，準備測試用例、工具，組織或實施安全測試;
?與開發團隊共同分析測試中發現的問題，提出建議，督促及時整改;
?向開發團隊傳授專業安全知識和技能;
?歸納總結開發中遇到的經驗和教訓，形成一致的安全標準、安全功能模塊，提高開發安全的保障水平。
?針對已使用技術和新技術，創建開發安全相關的規范、指引和實踐文檔。
?識別安全開發生命周期框架中需要改進和落實的領域，以進一步完善安全開發實踐和紀律，逐步建立安全的程序庫供開發人員使用。
?與其他安全顧問溝通和協作，相互支持，一致地優化安全實踐。
技能要求:
軟性技能:
?與人交互和影響的技能非常重要，該崗位需要與項目、開發團隊緊密協作，并能夠對改變和決策產生積極影響。
?口語、書面表達和溝通技能。
開發經驗:
?架構/實施:理想的候選人需要具備架構和實施(開發)企業級應用的經驗，并在組織中擔當過it崗位。
?軟件開發:這個崗位不是日常的程序開發崗位，成功的候選人應具備在商業環境下程序開發的經驗，尤其偏重于大型web應用開發項目。這需要掌握開發生命周期(sdlc)的知識和web安全的實踐(如owasp實踐集)。
?編程語言:理想的候選人應具備在實踐中使用不止一種開發語言的能力，如java， html5，perl， c/c++， c#， python。
?深入了解web技術和框架，如javascript， jsp/servlet/ejb， asp.net， php， http/http， cookies， ajax， flex/silverlight。
?移動平臺:熟悉ios和安卓平臺下的開發。
安全經驗:
?了解通常的應用層安全漏洞，能夠可以向開發人員講解漏洞的原理，風險和相應的控制。熟悉、實踐過主流應用安全實踐集如(owasp)，和移動安全領域的控制。
?能夠在開發過程中，評估安全相關的技術和功能性特性，識別威脅和脆弱的領域。具備參與設計階段的經驗。
?能夠從安全角度評審企業級應用的代碼，借助工具的結果向開發人員講解可能的安全漏洞。
?候選人應熟悉、實踐過安全相關的控制領域和措施，如身份驗證，權限，身份管理，數據保護，輸入輸出驗證，加密，軟件攻擊模型，安全的數據傳輸和存儲。
?具備使用動態漏洞評估和靜態漏洞評估工具，甚至滲透測試或其他安全測試工具的經驗。
其他:
?5年以上工作經驗。
?碩士(大公司多年經驗本科也可)
第2篇 應用安全顧問崗位職責
安全顧問-應用安全方向 具體職責:
?在架構、設計和評審階段與開發團隊緊密合作。
?向開發團隊提供專業的安全指導和見解。具體的安全控制領域會涉及但不限于,安全的數據庫訪問,驗證方式,會話管理,加密技術,權限設計與訪問控制,安全測試,錯誤處理和日志,輸入驗證,安全存儲設計。
?根據應用系統生命周期安全管理要求,對所服務團隊互聯網系統進行安全風險評估,提出安全需求,并評估安全要求不能達到時的風險,向項目建議控制措施。;
?與開發團隊共同討論,確定安全功能設計方案,提供方案實現的具體建議,供開發團隊實現;
?確定應用系統的各階段安全測試方法、驗證方法,準備測試用例、工具,組織或實施安全測試;
?與開發團隊共同分析測試中發現的問題,提出建議,督促及時整改;
?向開發團隊傳授專業安全知識和技能;
?歸納總結開發中遇到的經驗和教訓,形成一致的安全標準、安全功能模塊,提高開發安全的保障水平。
?針對已使用技術和新技術,創建開發安全相關的規范、指引和實踐文檔。
?識別安全開發生命周期框架中需要改進和落實的領域,以進一步完善安全開發實踐和紀律,逐步建立安全的程序庫供開發人員使用。
?與其他安全顧問溝通和協作,相互支持,一致地優化安全實踐。
技能要求:
軟性技能:
?與人交互和影響的技能非常重要,該崗位需要與項目、開發團隊緊密協作,并能夠對改變和決策產生積極影響。
?口語、書面表達和溝通技能。
開發經驗:
?架構/實施:理想的候選人需要具備架構和實施(開發)企業級應用的經驗,并在組織中擔當過it崗位。
?軟件開發:這個崗位不是日常的程序開發崗位,成功的候選人應具備在商業環境下程序開發的經驗,尤其偏重于大型web應用開發項目。這需要掌握開發生命周期(sdlc)的知識和web安全的實踐(如owasp實踐集)。
?編程語言:理想的候選人應具備在實踐中使用不止一種開發語言的能力,如java, html5,perl, c/c++, c#, python。
?深入了解web技術和框架,如javascript, jsp/servlet/ejb, asp.net, php, http/https, cookies, ajax, flex/silverlight。
?移動平臺:熟悉ios和安卓平臺下的開發。
安全經驗:
?了解通常的應用層安全漏洞,能夠可以向開發人員講解漏洞的原理,風險和相應的控制。熟悉、實踐過主流應用安全實踐集如(owasp),和移動安全領域的控制。
?能夠在開發過程中,評估安全相關的技術和功能性特性,識別威脅和脆弱的領域。具備參與設計階段的經驗。
?能夠從安全角度評審企業級應用的代碼,借助工具的結果向開發人員講解可能的安全漏洞。
?候選人應熟悉、實踐過安全相關的控制領域和措施,如身份驗證,權限,身份管理,數據保護,輸入輸出驗證,加密,軟件攻擊模型,安全的數據傳輸和存儲。
?具備使用動態漏洞評估和靜態漏洞評估工具,甚至滲透測試或其他安全測試工具的經驗。
其他:
?5年以上工作經驗。
?碩士(大公司多年經驗本科也可)
具體職責:
?在架構、設計和評審階段與開發團隊緊密合作。
?向開發團隊提供專業的安全指導和見解。具體的安全控制領域會涉及但不限于,安全的數據庫訪問,驗證方式,會話管理,加密技術,權限設計與訪問控制,安全測試,錯誤處理和日志,輸入驗證,安全存儲設計。
?根據應用系統生命周期安全管理要求,對所服務團隊互聯網系統進行安全風險評估,提出安全需求,并評估安全要求不能達到時的風險,向項目建議控制措施。;
?與開發團隊共同討論,確定安全功能設計方案,提供方案實現的具體建議,供開發團隊實現;
?確定應用系統的各階段安全測試方法、驗證方法,準備測試用例、工具,組織或實施安全測試;
?與開發團隊共同分析測試中發現的問題,提出建議,督促及時整改;
?向開發團隊傳授專業安全知識和技能;
?歸納總結開發中遇到的經驗和教訓,形成一致的安全標準、安全功能模塊,提高開發安全的保障水平。
?針對已使用技術和新技術,創建開發安全相關的規范、指引和實踐文檔。
?識別安全開發生命周期框架中需要改進和落實的領域,以進一步完善安全開發實踐和紀律,逐步建立安全的程序庫供開發人員使用。
?與其他安全顧問溝通和協作,相互支持,一致地優化安全實踐。
技能要求:
軟性技能:
?與人交互和影響的技能非常重要,該崗位需要與項目、開發團隊緊密協作,并能夠對改變和決策產生積極影響。
?口語、書面表達和溝通技能。
開發經驗:
?架構/實施:理想的候選人需要具備架構和實施(開發)企業級應用的經驗,并在組織中擔當過it崗位。
?軟件開發:這個崗位不是日常的程序開發崗位,成功的候選人應具備在商業環境下程序開發的經驗,尤其偏重于大型web應用開發項目。這需要掌握開發生命周期(sdlc)的知識和web安全的實踐(如owasp實踐集)。
?編程語言:理想的候選人應具備在實踐中使用不止一種開發語言的能力,如java, html5,perl, c/c++, c#, python。
?深入了解web技術和框架,如javascript, jsp/servlet/ejb, asp.net, php, http/https, cookies, ajax, flex/silverlight。
?移動平臺:熟悉ios和安卓平臺下的開發。
安全經驗:
?了解通常的應用層安全漏洞,能夠可以向開發人員講解漏洞的原理,風險和相應的控制。熟悉、實踐過主流應用安全實踐集如(owasp),和移動安全領域的控制。
?能夠在開發過程中,評估安全相關的技術和功能性特性,識別威脅和脆弱的領域。具備參與設計階段的經驗。
?能夠從安全角度評審企業級應用的代碼,借助工具的結果向開發人員講解可能的安全漏洞。
?候選人應熟悉、實踐過安全相關的控制領域和措施,如身份驗證,權限,身份管理,數據保護,輸入輸出驗證,加密,軟件攻擊模型,安全的數據傳輸和存儲。
?具備使用動態漏洞評估和靜態漏洞評估工具,甚至滲透測試或其他安全測試工具的經驗。
其他:
?5年以上工作經驗。
?碩士(大公司多年經驗本科也可)
