不做安全测试会有什么风险？上线后被通报、被下架的真实成本

一个系统上线了，功能都跑得通，用户也在用。然后呢？

然后监管的通报来了，应用商店的下架通知来了，甚至主管人员的处分决定也来了。很多团队在那一刻才意识到，功能测试证明的是“系统能用”，但证明不了“系统出了事之后，你能不能扛得住”。而不做安全测试的代价，恰恰是在“出了事之后”才真正开始计算的。

安全测试

一、通报是怎么找上门的？

你以为黑客会先敲门？不。大多数情况是，有人比你更早发现了你家门没锁。

路径通常有三条。

一是监管侧：网信、工信、公安的常态化监测和专项抽查扫到你，直接下发整改或公开通报。

二是平台侧：App 商店、小程序平台收到用户投诉或自动化检测命中，限流、下架、暂停服务。

三是漏洞报告平台：CNVD、CNNVD 收录了你的漏洞编号，接着是 SRC 白帽子、甚至是黑产。

顺序很重要。如果是白帽子先报给你，你还有体面处理的机会；如果是通报先下来，对不起，你已经是在“被发现问题”的那一栏里了。

二、下架，从来不是最贵的那部分

很多人算成本，只算到“停服三天损失多少流水”。这账算小了。

第一笔是看得见的钱。

停机、应急排查、加固、复测、重新提交审核，每一环都在烧人天。应用市场重新过审不是点一下按钮，材料要补、版本要重打、审核队列要重新排。赶上大促或者申报节点？那就不是钱的问题了。

第二笔是改代码的钱，而且是加倍的。

上线前改一个权限校验，可能是一行注解、半小时。上线后改同一个东西，牵出历史数据怎么清洗、老接口要不要兼容、已发出的客户端版本怎么办。同样的修复动作，事后做的代价通常是事前的五倍起步。这还是保守说法。

第三笔最难算，也最疼。

甲方问你怎么回事，用户问数据还在不在，同行在群里转发那条通报截图。信任这东西，攒三年，丢三分钟。招投标的时候，评审专家翻到“近两年存在安全通报记录”那一栏，这一栏，往往是直接扣分的。

三、合规责任，很多人根本没算进去

《网络安全法》《数据安全法》《个人信息保护法》，加上等保 2.0 和《关键信息基础设施安全保护条例》，这套东西不是建议，是义务。发生数据泄露或者被认定未履行安全保护义务，后果不止是整改通知：罚款、责令暂停相关业务、对直接负责的主管人员另行处罚，情节严重的还有刑事责任。政务和医疗系统涉及公民个人信息的，问责链条会拉得很长。

这时候，“我们没做安全测试”这句话，从辩解变成自认。它证明的不是你运气不好，而是你没尽到合理的注意义务。

反过来，一份带资质、带过程留痕的第三方安全测试报告，价值就在这儿，它不一定能挡住所有攻击，但它能证明你在上线前做过该做的事。这在很多场合，是两种完全不同的性质。

四、那能不能等出了事再说？

能。只是你要想清楚，你赌的是什么。

你赌的是漏洞不被发现。可一个对外暴露的系统，被自动化扫描命中的时间单位是天，不是年。你赌的是出事的时候来得及。可应急响应这件事，从来不会给你留出充足的准备时间。你还赌的是成本可控。但上面那三笔账加起来，早就超过一次正规渗透测试报价的好几倍了。

更麻烦的是，有些洞补不上。数据一旦流出去，就没有“回滚”这个操作。你能修的只有系统，修不了已经发生过的事实。

五、哪些项目真的不能省

不是说只有它们要做，而是这几类一旦出事，代价格外难看：

有对外注册登录和支付接口的；

存了个人身份信息、健康、位置、生物特征的；给政府、金融、医疗、教育供货的；

招标文件里明确写了安全条款的（写了就要有证据，否则就是虚假响应）；

以及准备做等保备案的，等保测评本身不是软件测试，但测评现场一定会问你上线前做过什么。

安全测试报告（CMA+CNAS）

选机构时，登录CNAS官网下载《认可范围附件》，确认安全测试相关的标准在列。如果报告涉及渗透测试或深度安全评估，机构最好还具备CCRC信息安全服务资质。一份没有合规资质背书的“安全测试报告”，在监管审查和验收环节，和没有做测试的区别并没有你想象的那么大。

安全测试不是在“买一份报告”，是在买一个在出问题之前发现问题、在追责之前留下证据的机会。那些罚款、下架和处分的成本，从来不会因为“没做测试”而不发生，它们只是换了一个时间点，以更高的代价出现。

标签：安全测试、安全测试的作用