- 综合排序
- 最热优先
- 最新优先
技术风险治理：从变更本质到 SRE 实战
技术风险治理：从变更本质到 SRE 实战一切风险来自于变更 —— 这是研发与运维领域最朴素也最深刻的共识。当我们从业务需求拆解出变更请求（CR）时，技术、产品与运营的风险便如影随形。 三、SRE 框架下的技术风险治理实践基于 Google SRE 的方法论，我们可以构建一套从风险识别到闭环治理的落地体系：1. 从心智图到技术图：风险治理的落地路径正如实践中总结的 “心智图→产品图→技术图” 路径，风险治理需要从用户体验出发，逐层拆解到技术实现：心智图（新老用户体验）：通过用户调研与行为分析，识别体验层面的风险点 四、总结：风险治理是一场持续的 “渐进式变革”技术风险的本质不是 “要不要变更”，而是 “如何安全地变更”。 从变更请求的风险识别，到架构、时间与跨团队限制的三维治理，再到 SRE 框架下的实践落地，我们需要用系统化的思维应对复杂的技术风险。
51620编辑于 2026-01-25- 来自专栏FreeBuf
议题前瞻 | 开源风险治理实践峰会·北京站
据NVD的数据显示，目前已知的开源漏洞已经达到数万个，安全风险正在持续上升，因此开源风险治理已经迫在眉睫。 基于此，3 月 22 日，FreeBuf 企业安全俱乐部·北京站-「开源风险治理实践峰会」将在北京希尔顿逸林酒店举办。 峰会将邀请专注于业内开源风险治理技术大拿安势信息创始人& CEO、荣耀终端开源软件管理专家、中兴通讯开源合规&安全治理总监等多位重量级人物，从甲方、乙方的角度出发，畅聊开源风险治理的那些事儿~ 议题前瞻 企业开源安全风险管控 中兴通讯开源合规&安全治理总监 项曙明 项曙明，信通院可信开源供应链资深咨询评估师、开源治理标准专家、可信开源治理讲师和金融开源治理社区技术专家。 本次分享将介绍在企业层面如何构建有效的开源安全风险管控机制，形成内驱力，推动组织和项目团队积极进行开源安全治理和风险应对实践。
1K20编辑于 2023-03-29 前沿安全框架升级：强化AI风险治理新举措
除了这些能力带来的滥用风险外，还存在源于模型在这些能力水平下采取无定向行动的潜在错位风险，以及此类模型可能融入AI开发和部署过程的风险。 为应对关键能力等级带来的风险，当达到相关的关键能力等级时，会在外部发布前进行安全案例审查。这包括执行详细分析，证明风险已如何降低到可管理水平。 对于高级机器学习研发关键能力等级，大规模内部部署也可能构成风险，因此现在正将这种方法扩展到包括此类部署。细化风险评估流程该框架旨在根据风险的严重程度进行应对。 细化了关键能力等级的定义，特别是为了识别那些需要最严格治理和缓解策略的关键威胁。在达到特定关键能力等级阈值之前以及作为标准模型开发方法的一部分，将继续应用安全和安保缓解措施。 最后，在此次更新中，更详细地阐述了风险评估流程。在核心早期预警评估的基础上，描述了如何进行包含系统性风险识别、模型能力的全面分析以及风险可接受性的明确判定的整体评估。
19910编辑于 2026-01-15- 来自专栏腾讯云智能顾问
【云顾问-云巡检】聚焦架构风险，助力卓越治理
云顾问云巡检功能一直以来着力于打造云上隐患风险发现能力，当前版本已结合云架构可视化能力，全面升级助力客户聚焦云上架构五大类型风险，持续治理优化打造卓越架构！ · 当前已上线云巡检插件，在架构图“治理视图”中可随时启用，全面巡检隐患风险。· 聚焦安全、可靠、性能、成本、服务限制 5 大类别巡检项，支持按架构业务特性启停、定制。 · 即时生成巡检报告，聚焦架构相关风险和趋势呈现，治理成果和进展可随时归档到“数字资产”，也可下载、分享。 · 【即将上线】基于自动巡检和各 region 资源自动生成架构图和风险可视化视图，提升架构绘制和治理效率。（敬请期待，相关问题欢迎联系我们）欢迎立即访问云顾问，体验云巡检！
1.1K10编辑于 2024-07-15 - 来自专栏深度学习与python
好大夫在线在解构服务风险治理方面的实践
之后紧接着又发起了服务风险治理项目，识别慢接口，不规范的 SQL，依赖不合理等服务风险。 在大家砥砺前行的完成这两个大项目之后，全站的稳定性得到了大幅度提升。 经过了这两年多的沉淀，现在我来汇报一下在做服务风险治理过程的相关经验心得，希望能带给大家一起启发。 SRE 小组探索服务风险治理已经快两年了，迎来了新版本的迭代。借此机会，想和大家深入聊一下服务风险治理，拓宽彼此认知的边界。 服务风险治理最终目标是为了服务健康，服务的健康体系是个复杂系统，影响因素很多，但我们需要抓住现阶段最大的风险。经过反复的对比，选择从延迟风险入手，也是为了达到公司预期“全站秒开”的大目标。 小 结 本次分享主要基于 MDD 指导思想，以指标为导向，深入分析服务风险模型，讲解了服务风险治理的一般模式，降低服务延迟，规避风险。
60720编辑于 2021-12-16 - 来自专栏公共互联网反网络钓鱼（APCN）
DeFi 治理投票劫持攻击风险与防控路径研究
当前多数协议在这一张力面前倾向于优先保障去中心化叙事，对治理安全风险估计不足。5.4 用户层面：治理参与度低与风险感知不足治理机制的安全运行高度依赖社区成员的积极参与。 此外，协议应当区分常规治理操作与高风险操作。 6.5 保障用户在治理风险中的退出通道治理攻击的最终受害者是金库中的用户资金，因此防控体系必须包含用户退出通道的保障机制。 ，待窗口期结束后再执行提案的资产转移；建立治理风险预警的用户通知机制，当监测系统发现投票权异常集中或高风险提案时，自动通过链上事件、前端界面、社区渠道等多种方式通知相关金库用户，提醒用户关注风险并评估是否需要撤出资金 这些差异意味着，行业不能继续沿用传统的安全范式来应对治理层风险，必须建立专门面向治理机制的安全防控体系。
8400编辑于 2026-08-26 RPKI中心化风险：架构依赖与安全治理的平衡
因此，如何在利用RPKI增强路由安全的同时，有效防范其内在的中心化风险，成为当前互联网治理领域亟待深入探讨的议题。 本文旨在系统剖析RPKI中心化风险的成因、表现形式及其潜在影响，评估现有缓解机制的有效性，并提出兼顾安全性与去中心化原则的治理框架。 中心化风险的治理挑战与现有缓解机制面对上述风险，当前RPKI生态已发展出若干治理与技术机制以增强透明度与抗脆弱性，但仍存在局限。 协同治理框架的构建为有效应对RPKI中心化风险，需构建技术、制度与社区协同的多层次治理框架，实现安全与去中心化的动态平衡。 其通过密码学手段为路由起源验证提供了技术基础，有效遏制了大规模前缀劫持风险。然而，其依赖RIR作为中心化信任锚点的架构设计，不可避免地引入了权力集中、单点故障与治理脆弱性等新型风险。
60310编辑于 2025-10-17- 来自专栏科技云报道
国内首个《金融行业开源治理白皮书》即将发布，系统梳理开源风险与治理方法
《金融行业开源治理白皮书》即将发布 首次系统梳理开源风险 面对开源软件使用过程中的一系列问题，金融行业该如何规范地使用开源技术，最大化减少使用开源带来的风险？ 基于对行业的深刻理解，中国信息通信研究院和浦发银行、农业银行、中信银行等多家拥有丰富开源治理经验的金融机构，共同编写了国内首个《金融行业开源治理白皮书》，并重磅推出了金融开源治理的优秀实践案例，为金融行业积极应对开源风险 此次推出的《金融行业开源治理白皮书》，是国内首次对金融行业的开源风险和治理方法进行系统梳理，也是中国信息通信研究院继2018年发布《开源治理白皮书》和《开源许可证使用指南》以来，对开源标准体系的进一步深化和完善 据悉，《金融行业开源治理白皮书》对金融企业引入开源技术的背景和开源技术的意义进行了全面解读，重点梳理了引入开源可能导致的相关风险，并对金融行业在开源治理方面可以采取的措施给出了建议。 为了让用户更好地规避开源风险，深入理解开源治理，中国信息通信研究院将在2019云计算开源产业大会的“开源治理论坛”上，正式发布《金融行业开源治理白皮书》，并在会上对开源治理的相关内容进行解读。
93520编辑于 2022-04-15 - 来自专栏公共互联网反网络钓鱼（APCN）
加密社交内容平台钓鱼诈骗风险与治理研究 —— 以 Binance Square 风险警示文本为样本
本文从平台治理、行业监管、用户安全教育、安全技术迭代四个层面提出可落地的治理路径，为防范加密社交生态下的钓鱼诈骗提供理论参考与实践思路。 本文立足于 Binance Square 风险警示文本所披露的现实威胁场景，客观梳理加密社交平台钓鱼诈骗的典型模式，拆解攻击完整链路，辨析风险多重成因，不做夸大推演，从多方主体视角构建风险治理框架，为同类加密社交平台的安全风险防控提供分析依据 反网络钓鱼技术专家芦笛强调，该场景下治理难点集中体现在处置与再生的速度不对等。 5 加密社交平台钓鱼诈骗的分层治理路径针对加密社交平台内生钓鱼诈骗威胁，不存在单一技术手段可以彻底消除风险，需要平台方、监管机构、行业组织、普通用户多方协同，构建事前风险识别、事中拦截处置、事后止损溯源的完整治理体系 5.2 监管与行业组织层面治理举措监管机构需要充分认识加密社交生态特有的钓鱼诈骗风险，不能简单沿用传统网页钓鱼的监测思路。
12610编辑于 2026-08-25 - 来自专栏云计算行业
当代中国社会重大风险的防范与治理
关注腾讯云大学，了解行业最新技术动态 直播详情预告 简 介 从中央关于坚持底线思维，着力防范化解重大风险精神引入，结合国内外几起重大社会风险的典型案例，深入分析当前我国防范化解重大风险的历史背景，系统阐述当代我国社会重大风险的重点领域和防范控制要点 ，并结合这次我国应对新冠肺炎疫情的经验教训，讲解和探索应对重大社会风险事件的应对之策。
37020编辑于 2023-05-29 - 来自专栏OpenSCA
OpenSCA用开源的方式做开源风险治理：Why? What? How?
开源风险治理为何如此重要？ 《供应链攻击威胁局势报告》显示，预计2021年的供应链攻击数量将增加至上一年的四倍之多。 OpenSCA技术原理 OpenSCA开源项目建立的初衷是“用开源的方式做开源风险治理”这一理念，将商业级的源鉴OSS开源威胁管控平台部分关键技术开源，为广大企业和开发者提供专业的SCA核心工具与社区生态 基于海量的组件库、漏洞库、许可证库、开源项目库等知识数据能够最大程度的匹配出正确的组件版本和对应的风险信息。 在更大的范围帮助更多的企业实现开源风险治理，助力开源生态健康有序发展。 四. OpenSCA的优势 1. 无需源码，上传二进制文件，即可进行软件成分分析，生成完整安全报告，帮助客户快速获取软件风险。
2.2K20编辑于 2023-02-20 - 来自专栏绿盟科技研究通讯
云计算安全的新阶段：云上风险发现与治理
三、云计算服务对外暴露的风险 云计算平台和应用均可能对外暴露，这些服务存在被攻击者发现并利用的风险。 图8 Twitter上研究员宣称可控制特斯拉的截图 四、云上攻击面管理 从监管部门的角度，对云上风险进行治理，有助于确保重要数据和关键数据不外泄、重要基础设施（包括政府站点服务、智能网联车、工业互联网等 但云上安全治理在未来一段时间内，涉及到云上资产与风险测绘、梳理云上资产归属，以及相关的治理体系和技术建设，将是一个较为长期、体系化的过程。 从而配合治理体系和流程，根据风险级别和影响范围，逐步将相关系统或服务下线或改造。 从机构的角度，对自身相关的云上风险进行管理和缓解，则是非常必要和可行的。 只有对云化趋势有足够的技术洞察，在软件栈、运营体系上云后，发现并管理暴露的攻击面，持续进行治理和缓解风险，才能更好地防止各类安全事件或数据泄露，保证云上业务的安全性。
1.8K30编辑于 2022-06-06 - 来自专栏腾讯安全
2020国家网安周：从源头抓好网络安全风险治理
如何对网络安全风险进行防控治理，保障财产安全，成为社会热议的话题。 、网络诈骗等主要网络安全风险的发展趋势与治理难点，并提出要从源头上对网络安全风险进行系统治理。 源头、系统治理是解决网络安全风险的破题关键 早在今年1月，中央政法工作会议曾提出对新型网络安全风险的防控治理，是2020年国家治理工作的重中之重。 然而，在当前具体的治理进程中，对网络安全风险的治理仍以传统的、打击单个环节的方式进行，难以撼动整个黑灰色产业链的生态，并不能起到显著效果。 未来，只有多方治理、联防联控，从源头进行系统性治理才能应对不断变化的网络安全风险。
1.3K50发布于 2020-09-16 - 来自专栏公共互联网反网络钓鱼（APCN）
医疗场景下对话式社会工程攻击与人员风险治理研究
现有国内医疗网络安全相关研究，多数聚焦医疗设备漏洞、勒索软件攻击、患者数据泄露治理，针对对话式社会工程攻击，尤其是 AI 语音伪造针对 IT 服务台的定向攻击的实证分析相对有限。 4 传统安全管控模式与人员风险管理 HRM 架构对比面对 AI 驱动的对话式社会工程攻击，仅依靠边界安全设备与年度合规培训已经不足以抵御风险，安全行业提出面向人的行为的人员风险管理 HRM 框架，该框架区别于传统安全意识培训 人员风险管理体系的核心思想，不是用考试、考核惩罚出现失误的员工，而是识别高风险行为模式，在业务流程中补齐短板。 风险评估和身份管理、安全信息事件管理系统打通，根据人员风险得分自适应调整访问安全策略，高风险人员访问核心电子病历系统强制要求硬件安全密钥，在入侵发生之前完成风险干预。 通过综合评分识别高风险群体，而不是笼统把全部员工视作同一风险等级。风险评分结果需要和身份管理平台、安全事件管理系统对接，实现自适应安全策略。
11810编辑于 2026-08-19 Agent安全风险升级：从信息错误到系统破坏的治理框架
这一转变导致安全风险性质发生根本变化：风险从“回答错误”升级为“代表组织执行错误”，危害从内容错误转向系统破坏，威胁从知识泄露转向权限滥用。 构建“三位一体”立体防护架构 腾讯云提出覆盖宿主层、Runtime层、网络层的完整安全框架，通过八大核心实践控制Agent全行动链风险。 运行时意图识别与高风险操作拦截 在Agent核心执行链路嵌入动态防护点，实现意图级安全控制： LLM推理防护：分析Agent任务意图，在执行前后设置Hook检测点监控敏感操作。 HITL人工审批：对删除操作、数据库变更、脚本执行等高风险行为启动人工审批流程，操作挂起直至人工确认。 关键风险防控量化效果 通过部署整套防护体系，可实现核心风险的有效控制： 供应链投毒防御：AI Agent安全中心对Skills进行深度扫描，精准识别恶意代码（如Script.Trojan.Shelle系列木马
50710编辑于 2026-06-01- 来自专栏公共互联网反网络钓鱼（APCN）
冒充 Look 品牌的短信钓鱼攻击风险与治理路径研究
该轮攻击通过伪造企业发送者标识、构建高度仿真的诈骗短信文本，向大量普通民众批量推送消息，利用用户对商业服务的固有信任完成欺骗，暴露出现有移动通信链路、终端安全防护、公众风险识别、平台治理层面存在多重短板 本文结合案例，从通信链路管控、钓鱼站点处置、终端安全能力、公众反诈教育、多方协同治理等维度提出可落地的治理方案，为应对同类商业仿冒短信钓鱼威胁提供实证参考。 本文立足于该公开新闻报道披露的攻击事实，完整还原冒充 Look 钓鱼短信的攻击全流程，客观分析攻击能够落地的技术、社会、管理层面的多重诱因，不做夸大渲染，立足于现实案例推导风险根源，构建完整的风险分析与治理对策 此类威胁不存在单一根治手段，通信运营商、域名管理机构、安全厂商、商业企业、监管机构、普通用户需要共同参与，形成源头拦截、攻击快速处置、风险预警、公众教育、黑产打击的完整治理闭环。 本文全部分析基于公开新闻报道披露的攻击事实，客观还原攻击链路，分析风险诱因，提出具备现实可行性的治理思路。
18510编辑于 2026-08-26 大模型与智能体安全风险治理：腾讯防护架构与实践
AI安全治理与可观测性：建立可视化AI资产测绘，自动发现智能体、模型、工具及数据源，持续漏洞检测、权限分析、信誉评估，控制基础设施与供应链风险（数据来源：同上）。 风险结构：涵盖训练（样本投毒、后门攻击）、发布（模型参数泄露）、运行（框架漏洞、开放数据集污染）、本体（数据泄露、供应链风险）、基础设施（权限不当、误操作）五层（数据来源：同上）。 腾讯AI安全架构的技术领先性 动态治理能力：突破传统WAF规则局限，通过意图与行为分析监督智能体异常模式，提升系统稳定性。 全栈防护覆盖：整合交互层、应用层、治理层，应对工具投毒、RAG污染、规划线路僭越等新型混合攻击。 风险可视化：AI资产与风险测绘实现供应链风险可控，开发效率与数据隐私双保障（数据来源：腾讯全球数字生态大会，分享人李滨，2025年9月17日）。
65220编辑于 2026-04-19- 来自专栏公共互联网反网络钓鱼（APCN）
2026 年电子邮件认证部署缺陷与安全风险治理研究
，形成 “技术原理 — 部署缺陷 — 风险危害 — 合规驱动 — 落地方案 — 代码验证” 的完整闭环。 本文基于 2026 年行业观测与安全实践，聚焦机构普遍存在的认证部署错误，揭示监控模式陷阱、协议理解偏差、运维缺失等问题，提出可落地的全流程治理方案，为机构实现邮件认证全面强制执行提供理论与技术支撑。 3.3 隔离模式的局限性p=quarantine 将邮件入垃圾箱，但用户常从中恢复可信联系人邮件，攻击者仍可通过伪装实施钓鱼，无法根除风险。 4.2 供应链与下游风险扩散薄弱认证不仅危害自身，还会被用于攻击客户、合作伙伴，形成链式安全事件。 SPF、DKIM、DMARC 技术成熟可靠，但机构普遍存在认知不足、配置错误、长期停留在监控 / 隔离模式等问题，导致域名伪造与 BEC 风险居高不下。
34410编辑于 2026-04-01 腾讯云漏洞治理服务如何精准狙击高危风险？
在网络安全攻防对抗中，漏洞治理是关键防线。然而，传统漏洞管理常面临误报率高、漏报风险大的困境，导致企业安全团队疲于应对。 本文结合腾讯云推出的漏洞治理服务（VGS），解析其如何通过多源情报监测、智能研判分析、AI验证技术三大核心能力，实现漏洞治理的精准化与高效化，助力企业降低误报漏报率，筑牢安全底座。 AI驱动的PoC监测：通过机器学习识别PoC（漏洞验证代码）的传播特征，提前预警0Day风险。例如，在Log4j2漏洞爆发时，VGS在官方通告前2小时即捕获相关PoC信息。 2. T-VPT智能研判：破解误报难题五维风险评估模型：综合CVSS评分、资产价值、漏洞利用条件（如需认证）、影响范围、修复难度，动态计算漏洞优先级。 自动化修复建议：针对高风险漏洞（如远程代码执行类），自动生成兼容性适配的修复路径，减少人工决策时间。 3.
63210编辑于 2025-10-10- 来自专栏数字化转型
AIMS融合治理框架：安全-隐私-AI风险控制技术白皮书
S – Security & Risk：安全与风险底座四字母分别对应ISO/IEC 42001（AI管理）、ISO/IEC 27001（信息安全）、ISO/IEC 27701与ISO 31000（隐私治理与风险治理 AI专项风险扩展集深度嵌入同一框架，形成"一张风险表、一套控制措施、一个审核台账"的集约化治理格局。 双五模型五层架构分别为战略层L1、场景层L2、系统层L3、治理层L4、优化层L5；AIMS模型承担L4层安全、隐私、AI风险全维度治理能力输出，是双五模型中治理层的核心交付组件。 "可能性×影响"风险矩阵，影响维度扩展AI特有维度：业务误导风险品牌可信性风险决策错误风险监管触达风险（含操纵性GEO引发的行政处罚风险）2.2 核心运行机制（一）统一风险治理结构ISO 42001与ISO ，将ISO 42001的AI风险治理能力与ISO 27001安全、ISO 27701隐私能力注入统一风险框架，形成"一张风险表、一套控制措施、一个审核台账"的集约化治理格局——让AI服务从"黑盒操作"走向
17810编辑于 2026-08-16
腾讯云开发者
Copyright © 2013 - 2026 Tencent Cloud. All Rights Reserved. 腾讯云 版权所有
深圳市腾讯计算机系统有限公司 ICP备案/许可证号：粤B2-20090059 
粤公网安备44030502008569号
腾讯云计算（北京）有限责任公司 京ICP证150476号 | 京ICP备11018762号