2018 OWASP 中国区域安全论坛回顾：软件安全开发扎根南北（南京·西安·深圳）
摘要：2018年，OWASP 中国区域安全论坛在南京、西安、深圳多地落地，聚焦软件安全开发（S-SDLC）、自动化威胁治理与金融行业漏洞管理，把“安全左移”推向产业一线。
2018年，OWASP 中国在西安（1月）、南京（8月17日）、深圳（9月）接连落地区域安全论坛，把应用安全对话带到更多城市。南京站由 OWASP 中国与应用安全联盟（ASC）联合主办，在台风“温比亚”的暴雨中于沁恒科技园如期举办，SecZone 开源网安携“自动化安全扫描”议题亮相，分享如何把安全嵌入软件产品开发过程。
西安站由 OWASP 中国副主席王颉博士领衔，西安电子科技大学刘雪峰副教授带来大数据全生命周期隐私问题探究，任博伦分享 OWASP AppSec 最新工具项目；深圳金融专场则作为深圳网宣周系列活动，由深圳市互联网信息办公室主办、多方联合承办。
这一年论坛的共同主线非常清晰——安全不再是事后的渗透与修补，而是要回到软件开发的全生命周期。SecZone 带来的“软件安全开发生命周期（S-SDLC）解决方案 V2.0”与 VulHunter 灰盒安全测试工具，目标是帮助研发企业在开发源头保障软件安全。
这也呼应了 OWASP 全球“安全左移（Shift Left）”的理念：让安全成为开发流程的内在属性，而非外挂的环节。
深圳金融专场上，平安金融安全研究院研究员邱菁萍发布并解读“OWASP 自动化威胁项目（Automated Threats Project）”——这是 OWASP 中国在 2018 年启动的本土化研究项目，从 150 余种信息来源中筛选、归纳出 21 个自动化威胁事件，探究其症状、缓解措施与控制方法。
该项目为开发、架构、运营、安全与采购等角色提供了应对恶意 Web 自动化威胁的通用语言，逐步成为行业事实标准之一；同期李俊（魔方安全）分享了金融业务上线前后的漏洞管理实践，肖文棣（Mendick Xiao）探讨了 DevSecOps 最佳实践。
2018 年的三站论坛，标志着 OWASP 中国的活动从“单点峰会”走向“多城市、常态化”的区域运营，也为其后数年覆盖全国的分会体系打下了基础。软件安全开发的种子，正在南北多地同时发芽。
— OWASP 中国（开放 Web 应用安全项目） —