XX银行DevSecOps体系建设与安全开发生命周期（SDL）规范

第一章 总则

第一条 目的
为解决“开发追求速度”与“安全追求质量”的矛盾，将安全能力左移（Shift Left），嵌入到DevOps流水线的各个环节，实现“安全地快速交付”，特制定本规范。

第二条 核心理念
DevSecOps = Development + Security + Operations
安全不再是上线前的“堵门”检查，而是贯穿全流程的内生能力。人人都是安全工程师。

第二章 安全开发生命周期 (SDL) 流程

（一） 需求分析阶段 (Plan)

1. 安全需求分析：在业务需求评审时，安全人员必须参与。明确项目的安全等级（高/中/低）和合规要求（如等保三级、PCI-DSS）。
2. 隐私保护设计：识别涉及的敏感数据（如身份证、卡号），制定脱敏和加密方案。

（二） 设计阶段 (Design)

1. **威