在現代軟體開發生命週期中，應用安全已不再是單純的技術議題，而是組織文化與協作流程的綜合體現。傳統上由特定安全團隊專責的模式，在追求快速交付的 DevSecOps 浪潮下顯得力不從心。「左移」思維主張將安全考量前移至開發初期，促使責任邊界模糊化，演化為跨職能的共擔模型。此轉變不僅重塑團隊結構，更對各職能角色的認知與協作方式提出新挑戰。本文將深入剖析此趨勢的統計數據與實務挑戰，探討開發、安全與營運團隊間如何建立有效的責任劃分與協作機制，以應對日益複雜的軟體供應鏈安全威脅。
應用安全責任共擔的演進與挑戰
責任歸屬的轉變
過往，應用程式安全（Application Security, AppSec）的責任常被視為特定團隊的專屬任務。然而，隨著軟體開發生命週期（Software Development Lifecycle, SDLC）的演進，特別是「左移」（Shift Left）思維的普及，這種單一團隊全權負責的模式已逐漸式微。今年的調查數據顯示，認為自己「完全」承擔應用安全責任的比例顯著下降，從去年的 48% 驟減至 30%。這意味著，越來越多的組織不再將應用安全視為孤立的環節，而是將其視為團隊協作的共同目標。
大多數受訪者（53%）表示，他們是在一個更大的團隊架構下共同負責應用安全，相較於去年的 44%，此比例有所提升。這種趨勢同樣體現在安全專業人員的觀點上，有 38% 的安全專家指出，他們越來越多地參與到專注於安全性的跨職能團隊中，相較於去年的 29%，這是一項顯著的成長。這些結構性的改變，正深刻地影響著團隊協作的模式。超過 70% 的受訪安全專業人員表示，他們有四分之一以上的安全漏洞是由團隊共同發現的，遠高於去年的 53%。
責任分擔的統計數據
此圖示展示了應用安全責任分擔的變化趨勢。
@startuml
!define DISABLE_LINK
!define PLANTUML_FORMAT svg
!theme _none_
skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 16
skinparam minClassWidth 100
title 應用安全責任分擔趨勢
pie title "2022 vs 2023 應用安全責任分擔"
"完全負責 (2022)" : 48
"部分負責 (2022)" : 52
"完全負責 (2023)" : 30
"部分負責 (2023)" : 70
@enduml
看圖說話：
此圖示直觀地呈現了在過去一年中，組織內對應用程式安全責任的認知轉變。數據顯示，認為自己「完全」負責的比例從 2022 年的 48% 大幅下降至 2023 年的 30%，這表明單一團隊包攬所有安全責任的模式已不再是主流。相反地，認為自己是在一個更廣泛的團隊框架下承擔部分責任的比例則從 2022 年的 52% 上升至 2023 年的 70%。這反映出「左移」策略的成功，將安全責任從單一安全團隊擴散到開發、營運等其他團隊，形成了更具協作性的安全文化。
左移策略的深化與挑戰
儘管組織在應用安全方面取得了顯著進展，但仍有許多值得關注的機會點。組織需要持續深化其「左移」策略，賦予團隊更早發現漏洞的能力，進而降低修復成本。此外，隨著人工智慧（AI）和機器學習（ML）在軟體開發生命週期中的角色日益重要，組織必須確保安全團隊具備必要的技能與工具，以充分利用這些先進技術。最後，如同過去幾次調查所觀察到的，工具鏈（Toolchains）仍然是開發、安全與營運（DevSecOps）團隊的一大痛點，獨立的解決方案數量持續增加，而整合的努力卻相對滯後。
接下來，我們將深入探討今年的調查結果，揭示這些差距，並闡述團隊在 2023 年需要考量的關鍵面向。
責任歸屬的細緻觀察
「左移」並非一蹴可幾的短期目標，而是一個持續演進的過程。儘管認為自己「完全」負責應用安全的回應者比例在 2023 年有所下降，但那些不認為自己完全負責的受訪者，對於責任的實際歸屬卻持有不同的觀點。開發人員在認為「安全團隊」或「開發團隊」應負主要責任之間，呈現均勻的分布。然而，開發人員比安全或營運專業人員更有可能認為安全團隊應負主要責任。反之，安全專業人員比開發人員或營運專業人員更有可能認為開發團隊應負主要責任。營運專業人員則比開發人員更傾向於認為營運團隊應負主要責任，並且與安全專業人員的看法相當。
這種觀點上的差異，突顯了在跨職能團隊中，對具體責任劃分的細緻協調仍有待加強。
應用安全主要責任歸屬分析
此圖示展示了不同職能團隊對應用安全主要責任歸屬的看法。
@startuml
!define DISABLE_LINK
!define PLANTUML_FORMAT svg
!theme _none_
skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 16
skinparam minClassWidth 100
actor "開發人員" as Dev
actor "安全專業人員" as Sec
actor "營運專業人員" as Ops
rectangle "應用安全主要責任歸屬" {
Dev --> Sec : 主要責任
Dev --> Dev : 主要責任
Sec --> Dev : 主要責任
Sec --> Ops : 主要責任
Ops --> Ops : 主要責任
Ops --> Sec : 主要責任
}
note left of Dev : 認為安全團隊主要負責
note right of Dev : 認為開發團隊主要負責
note left of Sec : 認為開發團隊主要負責
note right of Sec : 認為營運團隊主要負責
note left of Ops : 認為營運團隊主要負責
note right of Ops : 認為安全團隊主要負責
@enduml
看圖說話：
此圖示描繪了在應用安全責任劃分上，開發、安全與營運團隊之間複雜的互動與認知差異。開發人員的觀點較為分散，可能傾向於將責任推給安全團隊，但也有一部分認為開發自身應負主要責任。安全專業人員則普遍認為開發團隊應承擔更多責任，同時也承認營運團隊的角色。營運專業人員則傾向於將責任歸於自身團隊，但也認可安全團隊的重要性。這種多方位的責任認知，雖然體現了協作的意願，但也暗示著在實際執行層面，仍需要更清晰的界定與溝通，以避免責任推諉或遺漏。
2023 年軟體開發面臨的嚴峻挑戰
當被要求以自身語言描述 2023 年軟體開發面臨的最大挑戰時，受訪者普遍將「安全」列為首要關注點。一位來自醫療保健領域的 DevOps 工程師強調：「安全、安全、安全，以及更多的安全……這不僅是絕對的必要，更是我們對客戶、組織、同事、自己、未來的 DevOps 工程師，乃至全人類的責任，我們必須竭盡所能，為我們的產業創造一個安全、合規且可擴展的未來。」
另一位來自媒體與娛樂產業的網站可靠性工程師則指出：「產品團隊過度專注於推出新功能，卻忽略了投入時間關注安全性、程式碼品質和程式碼退化（code rot）。」
這些回饋清晰地表明，儘管組織在推動 DevSecOps 的「左移」方面取得了一定成效，但將安全融入開發流程的挑戰依然嚴峻。
軟體開發挑戰的關鍵詞雲
此圖示以視覺化的方式呈現了受訪者提及的軟體開發挑戰中的關鍵詞。
@startuml
!define DISABLE_LINK
!define PLANTUML_FORMAT svg
!theme _none_
skinparam dpi auto
skinparam shadowing false
skinparam linetype ortho
skinparam roundcorner 5
skinparam defaultFontName "Microsoft JhengHei UI"
skinparam defaultFontSize 16
skinparam minClassWidth 100
cloud "軟體開發挑戰" {
"安全" as A
"程式碼品質" as B
"新功能推出" as C
"程式碼退化" as D
"合規性" as E
"可擴展性" as F
"成本" as G
"AI/ML 整合" as H
}
A -- B
A -- C
A -- D
A -- E
A -- F
B -- D
C -- G
E -- F
F -- H
note "安全是首要關注點" as N1
note "技術債問題" as N2
note "產品壓力" as N3
A .. N1
B .. N2
C .. N3
@enduml
看圖說話：
此圖示透過詞雲的概念，直觀地展示了受訪者在描述 2023 年軟體開發所面臨挑戰時，最常提及的核心概念。顯而易見，「安全」是壓倒性的關鍵詞，其重要性被多位受訪者強調，並與「合規性」和「可擴展性」等長期發展目標緊密相連。同時，「程式碼品質」與「程式碼退化」也反映了技術債問題的普遍存在，這與「新功能推出」的產品壓力形成對比，顯示出在快速迭代的開發環境中，維護軟體健康度的挑戰。此外，「AI/ML 整合」的出現，預示著新興技術的應用也帶來了新的考量與挑戰。
前瞻性觀點與養成策略
為應對上述挑戰，組織與個人在應用安全及軟體開發領域，應採取更具前瞻性的養成策略。
- 深化跨職能協作機制：建立更明確的溝通管道與協作流程，確保開發、安全、營運等團隊能夠無縫協作，共同承擔安全責任。這包括定期舉辦安全意識培訓、共享安全最佳實踐，以及建立統一的安全指標追蹤系統。
- 擁抱自動化與智慧工具：積極探索並導入能自動化安全檢測、漏洞掃描與風險評估的工具。特別是針對 AI/ML 技術的應用，應投入資源培訓團隊成員，使其能夠有效利用這些工具來提升效率與準確性。
- 強化安全文化與教育：將安全思維融入組織的 DNA，從根本上提升所有成員的安全意識。這意味著安全不再是某個團隊的專屬任務，而是每位員工的共同職責。
- 優化工具鏈整合：審視現有的工具鏈，尋求整合的可能性，減少點解決方案（point solutions）的碎片化，建立一套高效、統一的開發與安全工具平台。
透過這些策略的實施，組織不僅能有效應對當前的安全挑戰，更能為未來的技術發展與業務增長奠定堅實的基礎。
好的，這是一篇針對「應用安全責任共擔的演進與挑戰」文章的玄貓風格結論。
結論
縱觀現代軟體開發的生態演進，應用安全責任從集中走向分散，已是不可逆的趨勢。這不僅是「左移」策略的成果展現，更反映了組織在追求敏捷開發與風險控管之間，尋求更高層次平衡的深層次思考。
然而，數據揭示了一個核心瓶頸：當「共同負責」成為政治正確的共識時，「主要責任」的歸屬卻在開發、安全與營運團隊間形成認知落差。這種「責任分散的悖論」，若無有效的領導力介入，極易從協作的美意演變為無人承擔的灰色地帶。真正的挑戰已非工具或流程的導入，而是如何打破職能本位的思維慣性，將安全從一項被動的「檢查任務」轉化為所有成員內建的「設計原則」。
展望未來，DevSecOps 的成熟度將不再僅由工具鏈的整合程度來衡量，而取決於組織能否成功建構一個無縫協作、權責清晰的安全文化生態系。領導者的角色，也將從傳統的「指令下達者」轉變為跨職能團隊的「共識催化劑」與「文化塑造者」。
玄貓認為，高階管理者應著重於將「責任共擔」從一個抽象概念，轉化為具體的協作框架、共享的績效指標與清晰的問責機制。唯有如此，才能真正釋放跨職能團隊的潛力，將安全內化為組織應對未來挑戰的集體免疫力。