TSM可信研发运营安全能力水位图2.0（2025）.pdfVIP

TSM可信研发运营安全能力成熟度

水位图报告

（2025年）

云计算开源产业联盟

OpenSourceCloudAllianceforindustry，OSCAR

引言

“安全左移”理念已诞生多年，安全左移强调进行安全早期介入，

贯穿软件服务全生命周期，一方面将实现风险安全可控，做到风险漏

洞早发现、早修复，降低成本，提高收益；另一方面将反向推动企业

建立安全文化，提升研发、运营、安全团队协作意识。报告编写团队

依据《可信研发运营安全能力成熟度模型》标准持续开展TSM评估

工作，在积累一定样本量之后，于2023年分析评估细节，首次编写

《TSM可信研发运营安全能力水位图报告》。今年针对报告内容进行

更新，形成《TSM可信研发运营安全能力水位图报告》2.0版本。2.0

版本报告进一步洞察安全开发全生命周期的关键活动与技术演进，提

出更加具有针对性和实用性的解决方案。

本报告旨在绘制TSM整体评估水位图，为企业提供参考，同时

帮助企业对标业界优秀实践，将自身安全能力量化，探索构筑符合企

业自身情况的全生命周期研发运营安全体系，提升企业产品市场竞争

力。报告首先明确TSM（全称：TrustworthyevaluationofSecurity

maturityModel）可信研发运营安全能力成熟度工作背景，梳理国内外

研发运营安全现状并介绍可信研发运营安全能力成熟度工作概况。其

次，从五大领域十七类子项详细介绍TSM水位图构成，明确水位图

绘制依据，指出TSM水位图助力企业明确安全现状，完善改进计划。

再次，报告团队对30余家企业TSM评估情况进行分析，指出目前企

业研发运营安全体系建设短板与优势，并与1.0版本水位图进行比对

分析。此外，报告从人员、流程、技术三个层面洞察安全开发全生命

周期的关键活动与技术演进。最后，报告团队也将从丰富行业数据、

完善水位图考察指标、扩大评估样本数量建立用户反馈机制四方面持

续完善《TSM可信研发运营安全能力水位图报告》，助力业界可信安

全生态建设。

目录

一、整体概述1

（一）研发运营安全问题凸显，影响广泛1

（二）TSM可信研发运营安全能力成熟度相关工作介绍3

二、TSM水位图介绍6

（一）TSM水位图框架：覆盖软件开发全生命周期，划分为5大领域17

类子项6

（二）TSM水位图作用：助力企业量化安全建设能力，明确改进计划8

三、TSM水位图结果分析9

（一）评估参与企业9

（二）TSM水位图结果12

（三）TSM水位图结果分析15

四、可信研发运营安全关键活动演进21

（一）人员层面：安全文化建设与协同机制逐步完善21

（二）流程层面：从阶段管控到自动化常态化跃进25

（三）技术层面：实现从被动响应到安全前置的能力升级28

五、下一步工作计划28

附录1：TSM水位图活动详解33

附录2：TSM企业能力自评表52

图目录

图1可信研发运营安全能力模型4

图2TSM可信研发运营安全能力水位图模型8

图3评估参与企业人员规模10

图表4评估参与企业所属区域11

图5评估参与企业所属行业11

图6TSM可信研发运营安全能力水位图15

图7TSM可信研发运营安全能力水位图对比19

表目录

表1TSM可信研发运营安全能力水位图要素6

表2TSM可信研发运营安全能力企业总体得分12

表3TSM可信研发运营安全能力示例企业自评表52

一、整体概述

（一）研发运营安全问题凸显，影响广泛

随着信息化的发展，软件应用服务正在潜移默化的改变着生活的

各个方面，渗透到各个行业和领域，软件应用服务的自身安全问