保护范围
常见实施方式
在单一时间点扫描或测试，风险可能在后续版本再次出现。
ICS负责的方式
把代码、数据和运行时保护接入现有构建与发布流程。
通过这些要点确认适配性、依赖关系、责任归属及验收所需证据。
- 运行时保护
- 在应用程序运行时检测篡改、敌对环境和未经授权的操作。
- 代码和数据强化
- 减少敏感逻辑、凭证和应用程序数据的暴露。
- CI/CD 集成
- 在构建和发布渠道中一致地应用控制。
控制与证据
首次范围沟通应明确的事项。
通过这些要点确认适配性、依赖关系、责任归属及验收所需证据。
在应用程序运行时检测篡改、敌对环境和未经授权的操作。
减少敏感逻辑、凭证和应用程序数据的暴露。
在构建和发布渠道中一致地应用控制。
实施方式对比
比较发布后的安全检查与持续的应用保护。
差异不在于增加扫描工具，而在于能否把保护纳入开发、验证和应用运营流程。
兼容性与性能
常见实施方式
先应用统一配置，再在大规模部署时处理影响。
ICS负责的方式
在代表性版本、设备和业务流程上验证，并在扩展前确认性能阈值。
验收与移交
常见实施方式
交付许可证或技术报告。
ICS负责的方式
交付风险矩阵、已验收配置、兼容性证据和运营指南。
为什么选择ICS
ICS在一个责任范围内协调AppSec、应用研发和发布运营。
保护技术只是其中一部分；ICS负责按应用选择策略、验证兼容性并移交运营方法。
基于威胁模型的保护
按每个应用的资产、攻击路径和合规要求选择控制措施。
在发布流程中验证
结合CI/CD、应用版本和代表性设备验证后再扩大部署。
防护连接到证据
把渗透测试、运营信号和响应指南连接起来，支持AppSec调整决策。
控制与证据
将应用程序保护嵌入到发布生命周期中，而不会减慢交付速度。
保护 Android 和 iOS 应用程序免遭重新打包、逆向工程、运行时操纵和数据盗窃。
运行时保护
在应用程序运行时检测篡改、敌对环境和未经授权的操作。
代码和数据强化
减少敏感逻辑、凭证和应用程序数据的暴露。
CI/CD 集成
在构建和发布渠道中一致地应用控制。
操作证据
为安全和应用程序团队提供保护状态和异常的可追踪视图。
产品组合
六种产品，每种产品在运营模式中都有不同的职责。
使用该目录来识别最近的控制层，然后通过范围评估或研讨会来验证适合性。
