業界資深開發專家 / 郭凱迪 總經理
中小網大
本課程為「行動應用 App 資安標章全攻略」系列課程中的單元二。本單元聚焦於「Security by Design（源頭安全設計）」理念，核心目標是透過「Shift Left（資安左移）」的實踐，幫助開發團隊達成「開發即合規」的防護精神。課程邀請業界資深開發專家，將原本抽象、嚴苛的資安檢測規範，轉化為安全軟體開發生命週期（SSDLC）中各階段可執行的日常控制點與技術標準，大幅降低事後因檢測不合格而需大幅重構的成本。課程深入探討 10 大常見的開發實務案例，包含敏感性資料的蒐集同意與加密儲存、TLS 1.2+ 傳輸加密與憑證綁定（SSL Pinning）、Session 機制管理、第三方套件（SBOM/CVE）管控、Deep Link 注入攻擊防護、WebView 安全設定、防範懸浮遮罩點擊誘劫（Tapjacking）以及退到背景防畫面側錄等實務技術，全面協助工程師與產品經理將資安防護深植於專案流程與程式碼之中。
一、為什麼要「開發即合規」
二、設計與開發的Checklist
三、開發案例分享（10大常見實務類型剖析）
第一，資安是規格書，不是考卷。 檢測基準不該是上架前才拿出來對答案的工具，而是專案啟動時就攤開來照著做的規格。學員將理解「資安左移（Shift Left）」的真正價值——同一個問題，在需求階段改是調整一句話，在開發階段改是修改一段程式，送測後才改則是重做一個版次。越晚發現，代價越高。
第二，每一條規範，都對應到專案的某個階段。 學員將學會把抽象的檢測基準，拆解到需求、設計、開發、測試、上架、維運六個階段，轉化為可檢核的控制點與交付標準。資安不是額外多出來的工作，而是嵌進既有開發流程裡的日常動作。
第三，資安不只是技術問題，更是專案管理問題。 透過十個常見案例，學員將理解多數送測失敗的根源，往往不在技術能力，而在需求沒問清楚、跨廠商責任界線沒談定、維運階段沒有人接手。學員將能在需求訪談、規格撰寫、合約與驗收等關鍵節點提出正確的問題，讓問題在最便宜的時候就被解決。
案例涵蓋：敏感資料蒐集與儲存、傳輸加密與憑證綁定、Session 與身分控管、第三方套件與 CVE 追蹤、Deep Link 注入防護、WebView 安全、Tapjacking 防護、背景快照保護。
第二，每一條規範，都對應到專案的某個階段。 學員將學會把抽象的檢測基準，拆解到需求、設計、開發、測試、上架、維運六個階段，轉化為可檢核的控制點與交付標準。資安不是額外多出來的工作，而是嵌進既有開發流程裡的日常動作。
第三，資安不只是技術問題，更是專案管理問題。 透過十個常見案例，學員將理解多數送測失敗的根源，往往不在技術能力，而在需求沒問清楚、跨廠商責任界線沒談定、維運階段沒有人接手。學員將能在需求訪談、規格撰寫、合約與驗收等關鍵節點提出正確的問題，讓問題在最便宜的時候就被解決。
案例涵蓋：敏感資料蒐集與儲存、傳輸加密與憑證綁定、Session 與身分控管、第三方套件與 CVE 追蹤、Deep Link 注入防護、WebView 安全、Tapjacking 防護、背景快照保護。
猜你喜歡
ISO/IEC 27001資訊安全風險評鑑操作實務
60分鐘
476位同學
活動詳情：https://smelearning.sme.gov.tw/news.php?node=840