1、研发新建需求分支编写代码，发起代码合入时，自动触发流水线进行白盒代码扫描，将扫描结果调用gitab API反馈给gitlab，gitlab根据反馈结果判断代码合入，检测不通过代码无法合入。

2、检测不通过后研发会收到漏洞通知，研发自行判断漏洞是否为误报，若不为误报则修复完之后重新发起合入，若为误报则发起误报研判申请，安全工程师根据研判结果修改扫描结果，同时反馈研判结果给研发。

3、研发收到误报确认之后重新开启合入，则会自动调用最新的扫描结果进行校验，通过后将会自动合入。

GDPR 通用数据保护条例（General Data Protection Regulation）
目的在于遏制个人信息被滥用，保护个人隐私。2018年5月25日正式生效，可以直接在各欧盟成员国施行，不需要各国议会通过。

1)、个人数据处理：根据GDPR第41及4.2条，个人数据是指与已识别或可识别的自然人 (数据主体) 相关的任何数据，可识别的自然人是指尤其通过姓名、身份证号、定位数据、网络标识符等标识符，或通过特定的身体、心理、基因、精神状态、经济、文化、社会等方面个人属性能够被直接或间接识别的自然人...

2)、数据系统保护和默认保护：根据GDPR第3.25条，数据控制者应当采取适当的技术、组织措施 (如匿名化等) 确保数据处理符合GDPR要求的同时又保护数据主体的权利。此外，在默认 (by defaut) 情形下，该技术和组织措施应保证对个人数据的处理应在最小必要的原则下进行且不得被不特定自然人访问。

//国内2020年加推个人信息保护法、数据安全法。

IAST支持10+种隐私数据类型3种不同途径的违规行为检测：
注：雳鉴IAST在个人隐私合规方面检测的是违规行为，而不是漏洞
隐私数据类型：身份证号、手机号、邮箱、银行卡号...
违规行为：个人隐私信息在数据库、日志文件、请求响应中明文保存显示等
支持对应隐私数据和具体泄露位置展示，支持检测规则按需自定义
当前支持合规的国家相关规范条例如下:《个人信息保护法(草案)》、《通用数据保护条例(GDPR)》、《支付卡行业数据安全标准(PCI DSS)》、《GB_T 35273-2020个人信息安全规范》、《JR- T0223-2021金融数据安全数据生命周期安全规范》、《JR-T 0171-2020 个人金融信息保护技术规范》、《JR-T0197-2020金融数据安全数据安全分级指南》

从工具建设和问题治理入手，做出成效，由浅入深，

再建设引入完整的SDL体系，保持每一步的投入都有最佳产出。