对于安全开发一定要有一套成熟度模型，例如公司刚开始做的时候定义的级别可以低一些，可做的事情要少一些。但是随着熟练程度的增加以及大家对于安全开发的理解的加深，逐步加深高级别的安全成熟度模型。
下面就简单介绍一下我心中的成熟度模型的相关控制，未分级大家可以依靠公司自己的特性来进行补充。
1.管理安全控制
1.1建立安全职责，目标就是组织中都明确自己的职责和责任
工作内容：
a)组织安全机构组织架构图例如信息安全委员会等等，这里一定要注意安全机构一定级别足够的高，例如属于董事会或者CEO下面
b)文档化安全角色，职责，责任以及授予什么样的权限
1.2管理安全配置
工作内容:
a)系统中所有软件的更新记录，保证出现问题可以很快的追踪到相对应的版本以及回退
b)系统中所有问题的bug记录以及安全问题记录这样可以很好的知道现有系统所存在的风险
1.3安全意识、培训
工作内容:
a)安全意识、培训的内容的有效性
b)跟踪用户对于培训和意识课程的理解
c)培训以及安全意识课程的资料收集，一定要来源与内部，当然也可以来源于外面的安全事件
1.4管理安全列表
工作内容:
a)收集维护以及各个系统的日志
b)敏感资产的详细清单
c)安全控制失效的原因以及解决方案
1.5风险评估
工作内容：
a)识别安全运维过程中的风险
b)识别安全开发过程中的风险
c)定义组织内统一的安全度量标准
2.协调组织内的安全角色
2.1定义协调的最终目标
工作内容:
a)信息共享的途径，例如安全部门一定要建立漏洞管理数据库保证研发、运维部门第一时间得到这些信息，最重要的是要得到他们的相应，从这些响应中得到相对应的流程，进而推动了安全部门的地位，最重要的是保证了安全问题第一时间得到修补。
b)各个部门定义安全员，这样做的目的可以让他们在内部帮我们推动安全相关流程。
2.2协调机制
工作内容:
a)一定要定期或者非定期的进行安全沟通，这样做的目的是第一时间得到他们对安全的理解和认识，如果他们出现错误的认识我们要及时的进行更正，让他们可以按照我们的想法走
b)一定要注意跟外部安全专家以及安全公司的交流，这样做可以第一时间得到最新的安全漏洞以及安全解决方案
3.组织内部建立安全监控
3.1事件记录
工作内容:
a)一定要记录到每个安全事件的详细内容，这样做可以形成组织内部的问题管理库。组织第一次发生事件的时候可能马慌脚乱，但是有了这样的过程发现同样问题的时候可以很好的得到第一时间解决
b)安全事件的详细分析以及归纳，目的是分类安全事件形成相对应的响应团队。
3.2级别安全突发事件
工作内容:
a)一定要事先定义好突发事件的清单，这样做的目的是防患于未然。
b)根据上面的清单来列出相对应的突发事件的响应手册
c)突发事件的逐级报告，有的部门怕担责任隐瞒事件的危害，这样做的危害非常大，高层不了解安全危险，他就不能做好很好的决策。
3.3定义检查安全防御措施
工作内容：
a)定期检查WEB安全防御措施
b)定期检查操作系统安全措施
c)定期检查网络安全措施
d)定期检查人员安全措施
3.4突发事件响应内容
工作内容:
a)系统优先恢复的列表，重要的系统得到DDOS或者其他重要攻击的时候先要恢复那些列表。
b)应急响应计划，定义突发事件的响应计划，定期非定期进行演练。
4.安全组提供相对应的安全建议
4.1提供安全编码建议
工作内容：
a)安全设计原则，安全编码规范以及威胁建模、威胁树分析
b)定义安全体系架构以及查找对应的信任关系，着重注意信任关系，因为信任关系是最容易出现问题的地方
4.2提供安全运维指南
工作内容：
a)安全加固手册
b)安全流程风险分析以及对应的解决方案
4.3识别安全需求
工作内容：
a)根据需求文档得到安全需求列表
b)注意隐私保护以及法律法规的限制
c)实现统一的安全防御措施，这里主要目的是针对一类问题进行统一的处理
5.验证
5.1验证安全编码漏洞
工作内容：
a)利用owaspASDR进行威胁分析，同时编写对应的安全测试手册
b)利用上线前检查来测试相对应的风险
c)测试框架类安全例如Spring,Struts以及zendframework以及其他相关的MVC架构
5.2验证系统安全漏洞
工作内容:
a)利用相对应的框架来进行系统安全漏洞检查，例如OSSTMM,ISSAF等框架
5.3验证网络漏洞
工作内容:
a)利用相关的测试工具来进行验证网络漏洞
由于安全开发的工作非常多，所以我只是大概写了一些关键点，这些关键点展开的话工作量那是相当的大啊，所以保证一个软件或者WEB程序的安全运行绝非一朝一夕简简单单的。
这段经历是悲伤的，也是快乐的，毕竟创业是充满，想着自己以后可以不再给人打工了，可以给自己打工了，一个程序员写了很多年的程序之后，能够有机会给自己写程序，现在想着都是兴奋的，心情久久不能平静，
创业的那个项目是我自己带队开发出来的一个大型的物流信息平台，技术团队都是我一手带出来的，每个人都有自己的技术特色，有的擅长客户端展现，有的擅长后台业务逻辑，有的则对总体架构把握很好，我认为这个团队是一个配合很好的团队;我们的运营模式是物流管理软件+物流电子商务+GPS在线运营平台一起运营。该项目的赢利模式主要是：物流会员费，物流管理软件租用费和GPS运营月租用费。经营模式以物流电子商务：车配货，货配车，找司机来吸引人气，发展物流会员;以我们久经考验的物流管理软件平台来吸引物流企业加盟试用我们的平台和使用我们的软件，另外发展GPS用户接入我们的GPS在线运营平台，收取月租费。直到现在，我一直坚信这种模式是可以成功的。
市场主要以物流协会作为支点，因为物流协会有很多会员企业，协会有一定的号召力，开始的阶段，我们的合作是很愉快的，甚至谈到在当地成立分公司的事情了。但是后来发生的一些事情，让所有的事情不可控制，我现在想想应该是选错运作这个项目的公司了。我开始联系这个物流协会的时候，我是以我之前的那家公司名义的，应该是借了这家公司的名气打动了这个协会的秘书长，我之前的那家公司在广州乃至全国是有一定的知名度，但是正式运作这个项目的时候，这家公司面临跨台，所以我和一个私人投资者和另外一个公司的老板一起成立了一家公司来运作这个项目，但是没有想到这个物流协会的秘书长听说我们更换了运作这个项目的公司，他们就显得十分不信任了，并且逐渐终止了一些本来就基本确定下来的合作项目，并且给他们的会员企业发通知让他们不和我们合作，当时真是欲苦无泪啊。
失去物流协会的支持，我转而自己寻找市场，但是投资人觉得这个项目应该是失败了，故而把已经投入的资金全部撤走，失去资金的支持，我自己和另外一个老板独立支撑，但是我们钱都不多，支持不了多久，而且这个项目的运营模式需要一定时间来支持和培育，没有足够的资金，这个模式是成功不了的，于是我和另外一个老板决定终止这个项目，就这样，从新公司成立到解散，共经历了半年时间，我的信心也是落到了低谷。
当时是失落的，人可以跟其他的任何东西争，但人不能跟命争，我写下如下的文字：曾经的壮志豪情，一腔热血，慢慢的化为泡影。过后，是冷静，是恐慌，是无奈。生活还要继续，前进的帆折了，勇气和志向不能折。动力是什么，是教训，是挫折后的新的勇气，那才是最宝贵的，
后来我总结这次创业失败的主要原因如下：
1.没有选择好运作项目的公司和合作伙伴，公司知名度不高，高层里本来是三个人，但是实际上却只有我一个人在打拼，我知道我能和他们互补，但是我还是缺乏市场开拓的能力，技术我完全可以做好，但是一脚踢的事实逼我必须全面兼顾，太多的事情让我太累，无法一一的做起来,结果是一件事情都没有做好。
2.我自己对困难的估计不足，运营的风险其实是很大的，公司整体预防风险的能力有限，而且市场本身的根基不好，就像房子没有打好地基，很容易倒塌。
3.没有核心领导人(即使有也是一个摆设，当时是另外一个老板当总经理)，也没有可靠的资金支持，在要钱没钱要人没人的情况下很多工作无法展开，总之事情很难展开,公司的帐本一直都是在支出，支出。没有收入，一个公司是支撑不了3个月的。
4.其实做这个事情在高层里只有我一个人是要破釜沉舟做好，其他的两个老板只是抱一个观望的态度，也许他们只是希望空手套白狼，如果做成了他们可以赚一笔，输了就算了。而我倾注全部心血，当事业来做，到后来变成了做一个自己不可能做好的事情，结果输得很惨。
5.事情的发展使得我自己的定位严重错位，本来主要是技术，为市场提供一些帮助，而我缺少的市场扩展能力却没有人来补，就象踢球，漏位了却没有人补，结果肯定是失败。
6.在公司高层上，本来定了很好的合作模式，但是大家都没有执行，合作协议成了一纸空文。导致后来的资金撤走我都没有任何的办法，打官司又不好，大家还算是朋友，回天无力了。
后来我也总结了一个创业企业要成功的几条因素：:
1.首先公司必须有一个好的根基，有比较可靠的业务来源和赢利模式,有自己的核心竞争力或者产品。
2.其次要有一个牢靠的核心合作伙伴队伍，不能随意就是要散的队伍，大家分工协作，并且要有一个核心人物，必要的时候他是可以有决定权的，他本身是有威望的,能管得住自己的手下。
3.另外是财务要做得让大家放心，资金有足够的支持，让大家打拼的时候没有后顾之优.财务制度一定健全。
4.公司的管理制度要切合实际，要规范化，公司的荣誉和资职等方面要做好，该有的要有，其他的尽量争取。
5.影响力，有政府支持，行业要有一定的名气。要利用各种媒体扩大影响力(这方面当然要舍掉花钱)。
6.对于一个IT公司，对人才的管理一定要有很好的模式，做到人尽其才，才尽其用，惩罚分明，施行人性化的管理，留住优秀的人才才能把事情做强做大。
7.公司的执行力，要有一个强大的执行力来保证公司决策的快速执行。这个执行力需要多方面的制度来保证，公司整体的凝聚力也是不可忽视的因素，管理层的以身做则和示范及影响力必不可少。
8.风险要想得足够周到,要列出预防措施。有没有风险会让这个公司彻底的死掉，如果有那么就不要去做,或者让这个风险避开后再做。
9.注重细节，提倡切实可以行的方法管理，管理是靠方法而不是经验。管理要分层次，既要重视基础管理，也要注重高层面的管理。
10.提升管理层核心人员的人性魅力。吸引更多的人力共同来完成我们的事业。
中国每年毕业的IT专业的学生数量远高于美国和印度，但供求矛盾依旧突出。很多IT企业苦于实用型IT新生力量的缺乏，而大量的IT专业学生却为就业问题烦恼。什么样的人，才是IT企业青睐的人才?在刚刚结束的微软院校IT课程“校园之星”大赛上，担当评委的多家IT企业老总聚集一堂，纵论企业用人之道。“对于软件外包行业来说，对人才的要求有三点。”微创(上海)有限公司副总裁徐欣简明扼要地指出：“一是职业素养，二是语言表达能力，三是技术。”
“现在的毕业生最欠缺什么素质?企业重视新进员工什么素质?外语流利、专业知识扎实还是计算机应用熟练?”这些问题应该由人才市场上的买方——企业来回答更具有说服力。最近，上海某高校向80多家用人单位发放了调查问卷，结果显示，敬业精神、团队合作精神、人际沟通能力等“软实力”已经成为用人单位最看重的毕业生素质，反倒是计算机、外语水平、专业知识等传统指标逐渐退居二线了。
什么样的人才是当前中国IT业最需要的呢?哪一类型的人才是各大企业竞相争夺的?清华软件学院教授穆彬在论坛上讲道，一流的软件工程师应有两种基本素养：职业素养和专业素养。职业素养包括是否有责任心、能够对自己准确定位、对企业和行业文化的认同、具有管理水平———管理别人和被人管理、沟通与合作的能力等等。区别于其他行业所要求的就是专业素质，这些要求更深而且难度较大。要有足够的知识面，IT是多变的行业，知识面广对工作大有好处，而且目前国内IT行业还处于发展不稳定时期，所以知识面宽可塑性就大;有突出的专业和技术方向，能够胜任不同阶段的本职工作;要有一定的行业背景，“知己知彼百战不殆”，了解所从事行业的背景是IT从业人员应必备的素养;掌握IT学习方法，包括快速学习和自主学习;获取信息的能力，迅速掌握行业动态;了解软件开发过程，注重编程规范和文档写作;了解软件行业技术的特点、职业规划的意识、沟通与团队合作。要具备这些能力是要有长期系统的(请继续关注好范文网：)学习和训练，这是学校教育和个人塑造的结果，而现在具备这些素养的人明显缺乏。
那么到底什么时候才是职业素养呢?职业素养是个很大的概念，专业是第一位的，但是除了专业，敬业和道德是必备的，体现到职场上的就是职业素养;体现在生活中的就是个人素质或者道德修养。职业素养是人类在社会活动中需要遵守的行为规范。个体行为的总合构成了自身的职业素养，职业素养是内涵，个体行为是外在表象。所以，职业素养是一个人职业生涯成败的关键因素。职业素养量化而成“职商。”英文careerquotient简称cq。也可以说一生成败看职商。
职业素养概括的说包含以下四个方面：一是职业道德，二是职业思想(意识)，三是职业行为习惯，四是职业技能。前三项是职业素养中最根基的部分。而职业技能是支撑职业人生的表象内容。
在衡量一个人的时候，企业通常将二者的比例以6.5—3.5进行划分。前三项属世界观、价值观、人生观范畴的产物。从出生到退休或至死亡逐步形成，逐渐完善。而后一项，是通过学习、培训比较容易获得。例如，计算机、英语、建筑等属职业技能范畴的技能，可以通过三年左右的时间令我们掌握入门技术，在实践运用中日渐成熟而成专家。可企业更认同的道理是，如果一个人基本的职业素养不够，比如说忠诚度不够，那么技能越高的人，其隐含
的危险越大。所以，用大树理论来描述两者的关系比较直接。每个人都是一棵数，原本都可以成为大树，而根系就是一个人的职业素养。枝、干、叶、型就是其显现出来的职业素养养表象。要想枝繁叶茂，首先必须根系发达。
当前，整个社会都在谈论大学生就业难，但我们在与毕业生接触中却发现，相同的学生由于进入了不同的企业或单位，由于受不同企业文化的熏陶，事业发展也不同。优秀的企业理念成就了优秀的员工，要让自己在现代职场中脱颖而出，成为一个企业必不可少的人，就要以良好的职业道德秉持先进的工作理念去开拓自己的人生理念。现代高等职业教育尤其必须在学校教育中将优秀企业的员工标准融入学生职业生涯指导课中，加以培训和历练，缩短学生的就业适应期。
曾经有一位IT届的总监表示，企业在选择人才时一般基于两个方面的考核：专业化+职业化。所谓“专业化”是指基本的专业知识和动手的实践能力。而“职业化”是指基本的职业素养和职业技能。其中，基本的职业素养是所有企业考核人才的重中之重。刚出校门的大学生如果想得到步入企业的第一张门票，具备以下七项职业素养就显得尤为重要。
职业素养一：做事先做人。道德品性是一个企业考核人才最为看重的一项，道德操守好的人才即使专业知识上有所欠缺也丝毫不影响他的求职。进入一个企业，一定要分清什么是企业的，什么是个人的，在企业做事，一定要有自己的道德准则，在任何时候道德的底线都不能突破。
职业素养二：心态归零。现在社会处于一个转型期，有很多人暴富，大学期间高额的学费，导致一些大学生在择业时心态非常浮躁，不务实，总是再想下一个要“跳槽”的地方是什么。这样的学生即使学历再高，企业也是不会录用的。而一个优秀的人才心态是平和的，这样才能做到干一行爱一行，在学习中提高自己。
职业素养三：学会倾听。只有会倾听的人才会不断进步。把心打开，学会去听取不同的意见，从不同的人身上学习优点，这样才能使自己更快地成长。
职业素养四：积极主动。做事主动积极，不是被动完成。这样遇到问题，才会想办法去解决，而不是回避。领导一般都会喜欢主观能动性强的职员。
职业素养五：敢负责任。现在的大学生很多是独生子女，遇到事情很少有敢于承担责任的勇气，这是不可取的。犯错并不可怕，失败是成功之母，敢于在失误面前承担责任的职员，才是企业垂青的对象。
职业素养六：敢于承诺。这一点是考核人才的执行力。每个企业的领导都希望自己的下属的执行力强，这样才能更好地贯彻领导的意图。因此，一名优秀人才就是要敢于把事情承担下来，愿意主动地承担下来，这样才能更快地成长起来。
职业素养七：创新意识。每个企业的高管都希望自己的职员能在自己分配任务的基础上做得更好，这就要求职员具有创新意识。优秀的人才就要做到在管理、技术等方面不墨守成规、不被以往的经验所束缚。
大学生如果具备了以上七项职业素养，再掌握一些基本的职业技能，那么就能很快很顺利地得到进入企业的首张入场券。