课程编号
LESSON 08
所属模块
模块二·代码流②
课时安排
4课时·180分钟
适用人群
IT部门
讲授方式
讲授+实操演示+审计练习
一、教学目标
知识目标
- 理解网络安全等级保护（等保2.0）制度的要求与IPO合规关联。
- 掌握代码安全审计的主要方法和常见漏洞类型。
- 了解企业数字化安全体系的整体框架（技术+管理+人员）。
二、课程导入（10分钟）
📌 数据：网络安全事件对上市公司的杀伤力
2024年，某上市公司核心数据库遭勒索软件攻击，停产3天，股价单日下跌18%；另一公司因代码漏洞导致用户数据泄露，被监管机构罚款8500万元并责令整改。对拟上市公司而言，网络安全事件不仅是技术问题，更是合规风险和上市风险。
三、核心知识讲授
1
网络安全等级保护（等保2.0）合规要求
⏱ 50分钟
1.1 等保制度基本框架
网络安全等级保护制度是国家强制性安全制度（《网络安全法》第21条），要求运营者按照系统重要程度定级，并通过测评。
| 等级 | 适用场景 | 核心要求 | IPO相关性 |
|---|---|---|---|
| 一级 | 一般信息系统（办公OA等） | 自主保护，无须测评 | 低 |
| 二级 | 重要信息系统（ERP、财务、HR系统） | 须完成定级备案，每2年测评一次 | 高——IPO申报前须完成二级测评 |
| 三级 | 关键信息系统（核心业务平台） | 须完成定级备案，每年测评一次 | 极高——互联网公司核心平台通常要求三级 |
| 四/五级 | 国家关键基础设施 | 国家统一监管 | 特殊行业企业须注意 |
1.2 等保2.0 技术要求（二/三级）
- 安全物理环境：机房须满足防火、防水、温湿度控制、物理门禁等要求。
- 安全通信网络：网络架构须区域划分（DMZ区/内网/外网），网络边界须部署防火墙和入侵检测系统（IDS/IPS）。
- 安全区域边界：访问控制策略、入侵防范、恶意代码防范。
- 安全计算环境：主机安全加固、应用安全（SQL注入防护、XSS防护）、数据安全（加密存储、脱敏）。
- 安全管理制度：安全策略、人员管理、运维管理制度须完整且有效执行。
💡 IPO实务提示
建议拟上市公司在申报前18个月启动等保定级和整改工作，留出充足时间完成测评、整改、复测。等保测评报告（合格）须作为IPO申报材料的附件之一。
2
代码安全审计方法与常见漏洞
⏱ 55分钟
2.1 代码安全审计的目的与时机
- 目的：发现代码中的安全漏洞，在被攻击者利用之前主动修复，降低安全事件风险。
- 审计时机：①重大版本发布前；②IPO申报前（对核心产品代码）；③发生安全事件后；④引入第三方代码/开源库时。
2.2 代码安全审计方法对比
| 方法 | 说明 | 优点 | 局限 |
|---|---|---|---|
| 静态分析（SAST） | 不运行代码，通过工具扫描源码漏洞 | 覆盖面广、自动化程度高、成本低 | 误报率较高，需人工复核 |
| 动态分析（DAST） | 运行中的系统，模拟攻击检测运行时漏洞 | 发现实际可利用的漏洞，接近真实攻击 | 覆盖面不如静态分析全面 |
| 人工代码审查 | 安全专家人工阅读代码，寻找逻辑漏洞 | 可发现工具无法识别的业务逻辑漏洞 | 成本高、耗时长，依赖人员经验 |
| 渗透测试 | 模拟黑客攻击，测试系统实际抵御能力 | 最接近真实攻击场景，结果直观 | 需授权，风险较高，须谨慎执行 |
2.3 OWASP Top 10 高频漏洞
- 注入漏洞（SQL Injection等）：用户输入未经过滤直接拼接SQL语句，攻击者可读取、修改、删除数据库。防御：使用参数化查询，禁用动态SQL拼接。
- 认证缺陷（Broken Authentication）：密码策略弱、会话Token不安全。防御：强密码策略+MFA多因素认证。
- 敏感数据暴露：明文存储或传输密码、银行卡等敏感信息。防御：加密存储+HTTPS传输。
- 权限控制失效（Broken Access Control）：用户可访问未授权的资源。防御：服务端鉴权，不依赖客户端隐藏。
- 跨站脚本（XSS）：恶意脚本注入页面，窃取用户Cookie。防御：输出编码，Content Security Policy。
- 组件漏洞（Vulnerable Components）：使用含已知漏洞的第三方库或框架。防御：定期扫描依赖库，及时升级版本。
3
数字化安全体系建设框架
⏱ 20分钟
3.1 安全体系三层架构
- 技术层：防火墙、WAF（Web应用防火墙）、EDR（终端检测响应）、SIEM（安全信息与事件管理）、漏洞扫描平台。
- 管理层：安全策略制度、安全事件应急预案、安全审计、供应商安全管理。
- 人员层：安全意识培训（全员）、安全专业培训（IT人员）、安全演练（钓鱼邮件测试、应急响应演练）。
📌 安全意识培训的合规价值
75%以上的网络安全事件源于人员疏失（钓鱼邮件、弱密码、误操作）。定期开展安全意识培训，并保留培训记录，是等保和监管审查的必查项，也是降低安全风险最高效的手段。
四、实践演练
代码审查
活动：漏洞代码识别练习
⏱ 25分钟
请识别以下代码片段中的安全问题并给出修复方案：
// 示例1：SQL注入漏洞
String query = "SELECT * FROM users WHERE id=" + userId;
// 示例2：明文密码存储
db.save("password", userPassword);
// 示例3：未校验的文件上传
File.write(uploadPath + fileName, fileContent);
✅ 修复方向
示例1：使用PreparedStatement参数化查询；示例2：使用bcrypt/SHA-256哈希+盐值存储；示例3：验证文件类型、限制文件扩展名、存储路径随机化。
五、随堂测评
1. 拟上市公司核心业务系统（ERP/财务）通常需要达到等保几级？
- 一级
- 二级或以上
- 无强制要求
- 五级
2. SQL注入攻击的根本防御措施是：
- 安装防火墙
- 定期更换密码
- 使用参数化查询（PreparedStatement），禁止动态拼接SQL
- 限制用户输入长度
✅ 答案1-B 2-C
📌 本节课核心要点回顾
- 等保2.0是国家强制要求，重要信息系统须达到二级或三级，IPO申报前须完成测评并取得合格报告。
- 代码安全审计建议采用SAST+人工审查相结合的方式，重大版本发布前必须执行。
- OWASP Top 10 是最常见的Web应用安全漏洞，SQL注入、认证缺陷、权限控制失效是高频重点。
- 安全体系须覆盖技术、管理、人员三个层面，不能只靠技术工具，人员意识同样关键。
- 安全培训记录和等保测评报告是IPO网络安全合规的重要证明材料，须妥善保存。
下节课预告：第09课《数字化内控平台建设与流程自动化》，讲解如何借助技术平台实现内控自动化，提升合规效率。