SDL 39/100问：如何展示SDL的成果或效果？
在探讨SDL的成效之前，先回溯下SDL实施的初衷：即在软件开发的各个阶段中，力求尽早且全面地识别并解决漏洞及潜在的安全风险，从而转变以往软件上线后频繁应对安全事件的不利局面。基于这一初衷，至少可提炼出以下三个关键的成效衡量指标：
1、漏洞数量：实施SDL前后，相同周期内发现的漏洞数量，展示实施SDL带来的漏挖能力提升效果；
2、漏洞修复率：已发现漏洞的修复率，也是比较SDL前后，展示SDL流程或措施在该方面的提升效果；
3、安全事件发生率：统计SDL前后的，外部发现漏洞的数量，展示SDL在降低安全事件发生率方面的效果。
此外，这些都是结果指标，若SDL在建设过程中，还可以添加过程指标，证明SDL带来的好处：
1、安全测试覆盖率：统计SDL前后的安全提测工单数量，包括代码审计、开源组件检测、动态扫描、渗透测试等；
2、漏洞检出能力：统计SDL前后的漏洞检测能力，如针对某类漏洞的检测能力增强或填补空白。
综上所述，以上指标均可作为衡量SDL成效的重要依据。为了更直观地展示这些指标的变化趋势与对比情况，建议采用图表等可视化手段进行展示，以便更好地理解和分析SDL的实施效果。
更多软件安全内容，可以访问：
1、SDL100问：我与SDL的故事
SAST误报太高，如何解决？
SDL需要哪些人参与？
设计阶段应开展哪些安全活动？
有哪些不错的安全设计参考资料？
安全设计要求怎么做才能落地？
有哪些威胁建模方法论？
如何选择开源组件安全扫描(SCA)工具？
SCA工具扫描出很多漏洞，如何处理？
SCA工具识别出高风险协议，如何处理？
应该如何选型代码安全扫描工具？
白盒检测工具存在局限性，如何进行补偿？
SCA用什么系统做，自研还是外购？
有没有好用的SDL平台？
Sonar是否好用以及误报率咋样？
如何推进有问题的jar包更新？
SCA工具的误报率怎样？
在研发安全流程落地方面，有何经验？
如何说服业务完成checklist自检？
SDL 38/100问：sdl会对项目变更代码做review吗？
2、SDL创新实践系列
首发！“ 研发安全运营 ” 架构研究与实践
DevSecOps实施关键：研发安全团队
DevSecOps实施关键：研发安全流程
DevSecOps实施关键：研发安全规范
从安全视角，看研发安全
数字化转型下的研发安全痛点