至少有三个不错的答案，也有一些不太理想的答案。
战略制定，尤其是技术战略的制定，往往由高管负责。对于安全相关战略，通常由CISO负责；如果没有这一职位，则由CIO负责。
但有些组织会将推动API安全策略的责任交给其他岗位。如今，开发人员、SRE，甚至网络专业人员都可能负责制定API安全策略。
这或许是因为，目前还没有真正的研究来揭示这些决策可能产生的结果。毕竟，由开发人员推动API安全策略有其充分理由；同样，让所有可能以某种方式接触API的人员共同承担这项责任也有充分理由，无论是在开发、测试还是生产阶段。
在我们深入探讨API安全的近期研究中，我们询问了每位受访者（他们均为API安全决策者），其组织中哪些角色负责推动API安全战略。我们得到的回答各不相同，包括由开发人员负责、由网络专业人员负责，以及采用跨组织协作方式。
此外，我们还深入询问了组织使用哪些类型的安全服务来保护API，包括DDoS防护、访问控制、mTLS和SSL等。由于这些服务是实施安全策略所制定政策所需的部分控制措施，因此我们将其部署情况作为战略执行的具体体现。随后，我们根据API安全战略的主导角色，分析了组织部署了其中哪些服务。
坦率地说，这一结果令我们震惊。
结果表明，当API安全策略由跨组织共同负责时，部署的服务最为全面；其次是由更广泛的安全部门负责，以及由CIO/CISO领导层负责。
更令人担忧的是，当SRE主导安全策略时，直到API生命周期的测试阶段才会纳入API安全。如果由其他团队主导API安全策略，通常会从设计或开发阶段开始纳入API安全。即使由网络团队主导API安全策略，他们也表示应在开发阶段纳入API安全。
好消息是，大多数组织会指定这三类团队之一负责制定API安全策略。仅有8%的组织将这项工作交给开发人员，更少的组织（3%）由网络专业人员负责，只有1%的组织将其分配给SRE。
这与API安全所属的领域高度一致，因为这项决策在很大程度上取决于由谁主导策略。当API安全策略由CIO/CISO领导层主导，或被视为跨组织事项时，API安全通常会分布在4个典型领域：API管理、应用安全、网络，以及安全部门内独立于应用安全的领域。鉴于防御和保护API的服务可能横跨多个领域，这种分布是合理的。
因此，如果贵组织将API安全策略交由CIO/CISO领导层或安全部门负责，或将其视为跨组织职责，那么恭喜！这种战略方法正通过安全服务构建全面的安全控制，帮助防御和保护API免受各种攻击。
阅读今天的新闻稿并获取我们的最新报告，进一步了解API鲜为人知的一面。您不仅会看到更多令人担忧的统计数据，还能深入了解企业内部API的实际使用方式，以及组织认为对保障API安全至关重要的安全能力。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
2023年应用策略现状：成本与复杂性是推动多云网络发展的首要因素
多云网络解决方案可在核心、云和边缘环境之间实现无缝、安全的互联，为解决当今混合IT面临的挑战提供支持，因而备受业界关注。