信息系統(tǒng)獲取、開發(fā)與維護(hù)管理制度

信息系統(tǒng)獲取、開發(fā)與維護(hù)管理制度目 錄. 目的和范圍 2. 引用文件 2. 職責(zé)和權(quán)限 2. 確定信息系統(tǒng)安全需求 2. 在應(yīng)用中建立安全措施 錯(cuò)誤未定義書簽。5.1. 輸入數(shù)據(jù)驗(yàn)證 錯(cuò)誤未定義書簽。5.2. 內(nèi)部處理的控制 錯(cuò)誤未定義書簽。5.3. 輸出數(shù)據(jù)驗(yàn)證 錯(cuò)誤未定義書簽。. 密碼控制 36.1. 使用密碼控制的策略 36.2. 密鑰管理 4. 系統(tǒng)文件的安全 47.1. 運(yùn)行軟件的控制 47.2. 系統(tǒng)測(cè)試數(shù)據(jù)的保護(hù) 57.3. 對(duì)程序源代碼的訪問控制 57.4. 測(cè)試和運(yùn)行設(shè)施分離 57.5. 系統(tǒng)安全性測(cè)試 6. 開發(fā)和支持過程中的安全 68.1. 變更控制制度 68.2. 操作系統(tǒng)變更后應(yīng)用的技術(shù)評(píng)審 68.3. 軟件包變更的限制 68.4. 信息泄露 78.5. 系統(tǒng)驗(yàn)收 7. 技術(shù)脆弱性的控制 710. 公共網(wǎng)絡(luò)應(yīng)用服務(wù)的安全 8. 安全的開發(fā)環(huán)境 812. 項(xiàng)目管理中的信息安全 1013. 支持文件 10. 目的和范圍為確保安全成為所開發(fā)的信息系統(tǒng)一個(gè)有機(jī)組成部分，保證開發(fā)過程安全，特制定本程序。適用于本公司所有信息系統(tǒng)的開發(fā)活動(dòng)，信息系統(tǒng)內(nèi)在安全性的管理。本制度作為軟件開發(fā)項(xiàng)目管理規(guī)定的補(bǔ)充，而不是作為軟件開發(fā)項(xiàng)目管理的整體規(guī)范。. 引用文件1)下列文件中的條款通過本規(guī)定的引用而成為本規(guī)定的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標(biāo)準(zhǔn)，然而，鼓勵(lì)各部門研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。2)T22080-2016/ISO/IEC3術(shù)安全技術(shù)-信息安全管理體系要求3)T22081-2016/ISO/IEC27002:2013術(shù)安全技術(shù)-信息安全管理實(shí)施細(xì)則. 職責(zé)和權(quán)限開發(fā)部門：負(fù)責(zé)信息系統(tǒng)開發(fā)過程中的安全管理,負(fù)責(zé)保證開發(fā)過程安全。管理人員負(fù)責(zé)源代碼的安全管理。. 確定信息系統(tǒng)安全需求1)控制描述在新的信息系統(tǒng)或增強(qiáng)已有信息系統(tǒng)的業(yè)務(wù)要求陳述中，應(yīng)規(guī)定對(duì)安全控制措施的要求。2)安全要求在軟件開發(fā)生命周期中的分布如下圖所示：?jiǎn)栴}定義問題定義軟件開發(fā)計(jì)劃包含安全要求風(fēng)險(xiǎn)評(píng)估需求分析需求說明書總體設(shè)計(jì)詳細(xì)設(shè)計(jì)安全功實(shí)編碼測(cè)試測(cè)試安全要求維護(hù)更改安全要求3)安全需求分析內(nèi)容可包括以下項(xiàng)： 確認(rèn)需要保護(hù)的資產(chǎn)； 評(píng)估這些資產(chǎn)需要采取什么安全控制措施； 考慮是否在系統(tǒng)中加入自動(dòng)安全控制措施還是建立人工安全控制措施。4)需求開發(fā)與需求管理過程參見《軟件開發(fā)安全管理辦法》的需求開發(fā)與需求管理過程的管理部分。. 密碼控制5.1.使用密碼控制的策略1)控制描述應(yīng)開發(fā)和實(shí)施使用密碼控制措施來保護(hù)信息的策略。2)實(shí)施指南制定密碼策略時(shí)，應(yīng)考慮下列（但不僅限于）內(nèi)容： 組織間使用密碼控制的管理方法，包括保護(hù)業(yè)務(wù)信息的一般原則； 使用加密技術(shù)保護(hù)通過可移動(dòng)介質(zhì)、設(shè)備或者通過通信線路傳輸?shù)拿舾行畔ⅲ?基于風(fēng)險(xiǎn)評(píng)估，應(yīng)確定需要的保護(hù)級(jí)別，并考慮需要的加密算法的類型、強(qiáng)度和質(zhì)量； 加密可能帶來不利影響。由于某些控制措施依賴于內(nèi)容檢查，要求數(shù)據(jù)處于未加密狀態(tài)（應(yīng)確認(rèn)加密前的病毒檢測(cè)。5.2.密鑰管理1)控制描述應(yīng)有密鑰管理以支持組織使用密碼技術(shù)。2)實(shí)施指南應(yīng)保護(hù)所有的密碼密鑰免遭修改、丟失和毀壞。另外，秘密和私有密鑰需要防范非授權(quán)的泄露。用來生成、存儲(chǔ)和歸檔密鑰的設(shè)備應(yīng)進(jìn)行物理保護(hù)。對(duì)于一些部門所使用USBKE密鑰必須做到專人保管、專人使用，不用時(shí)必須防止在保柜內(nèi)或帶鎖的鐵柜中妥善保管。（按一級(jí)數(shù)據(jù)資產(chǎn)和硬件資產(chǎn)實(shí)施保護(hù)）. 系統(tǒng)文件的安全6.1.運(yùn)行軟件的控制1)控制措施應(yīng)有制度來控制在運(yùn)行系統(tǒng)上安裝軟件。2) 實(shí)施指南 應(yīng)僅由受過培訓(xùn)的管理員，在取得管理授權(quán)之后，進(jìn)行軟件、應(yīng)用和程序庫(kù)的更新； 操作系統(tǒng)應(yīng)僅安裝經(jīng)過批準(zhǔn)的可執(zhí)行代碼，不安裝開發(fā)代碼和編譯程序，如特殊情況下，在不影響系統(tǒng)運(yùn)行調(diào)試時(shí)需安裝開發(fā)代碼和編譯程序，在調(diào)試完成后，立即卸載并刪除所有代碼和程序目錄。 在系統(tǒng)安裝前，應(yīng)有完整的安裝步驟。6.2.系統(tǒng)測(cè)試數(shù)據(jù)的保護(hù)1)控制措施測(cè)試數(shù)據(jù)應(yīng)認(rèn)真地加以選擇、保護(hù)和控制。2)實(shí)施指南應(yīng)避免使用包含敏感數(shù)據(jù)的運(yùn)行數(shù)據(jù)庫(kù)用于測(cè)試。如果測(cè)試使用了個(gè)人或其他敏感信息，那么在完成測(cè)試之后應(yīng)去除或修改所有的敏感細(xì)節(jié)和內(nèi)容。當(dāng)用于測(cè)試時(shí)，應(yīng)使用下列（但不僅限于）指南保護(hù)運(yùn)行數(shù)據(jù)：正式系統(tǒng)上的訪問控制措施也要應(yīng)用到測(cè)試系統(tǒng)上； 在測(cè)試中使用敏感數(shù)據(jù)應(yīng)取得適當(dāng)?shù)氖跈?quán)； 在測(cè)試完成之后，應(yīng)從測(cè)試系統(tǒng)清除主要的敏感數(shù)據(jù)；6.3.對(duì)程序源代碼的訪問控制1)控制措施應(yīng)限制訪問程序源代碼。2)實(shí)施指南格控制，以防引入非授權(quán)功能和避免無意識(shí)的變更。對(duì)于程序源代碼的保存，通限于）指南：若有可能，在運(yùn)行系統(tǒng)中不應(yīng)保留源程序庫(kù)； 應(yīng)限制客服和技術(shù)支持人員訪問配置管理庫(kù)； 更新配置項(xiàng)或向程序員發(fā)布程序源碼應(yīng)獲得適當(dāng)?shù)氖跈?quán)； 應(yīng)維護(hù)配置庫(kù)的訪問日志；6.4.測(cè)試和運(yùn)行設(shè)施分離為防止運(yùn)行問題，需識(shí)別運(yùn)行與測(cè)試環(huán)境之間的分離級(jí)別： 測(cè)試環(huán)境與運(yùn)行環(huán)境要嚴(yán)格分離，不允許在運(yùn)行環(huán)境中進(jìn)行測(cè)試工作； 測(cè)試系統(tǒng)要盡可能的仿效運(yùn)行系統(tǒng)的環(huán)境； 敏感數(shù)據(jù)不要拷貝到測(cè)試系統(tǒng)環(huán)境中。6.5.系統(tǒng)安全性測(cè)試 系統(tǒng)安全性測(cè)試需要開發(fā)人員測(cè)試，開發(fā)人員相互測(cè)試，測(cè)試小組測(cè)試； 測(cè)試完成后，應(yīng)該消除測(cè)試用的后門、用戶名及口令等。. 開發(fā)和支持過程中的安全7.1.變更控制制度1)控制措施嚴(yán)格控制軟件包的變更，只限于必要的變更。關(guān)鍵應(yīng)用的操作系統(tǒng)的變更，要進(jìn)行評(píng)審和測(cè)試。應(yīng)使用正式的變更控制制度控制變更的實(shí)施。2)實(shí)施指南應(yīng)按《變更管理規(guī)定執(zhí)行相應(yīng)的變更操作，以將信息系統(tǒng)的損壞減到最小。7.2.操作系統(tǒng)變更后應(yīng)用的技術(shù)評(píng)審1)控制措施當(dāng)操作系統(tǒng)發(fā)生變更后，應(yīng)對(duì)業(yè)務(wù)的關(guān)鍵應(yīng)用進(jìn)行評(píng)審和測(cè)試，以確保對(duì)組織的運(yùn)行和安全沒有負(fù)面影響。2)實(shí)施指南這一過程應(yīng)涵蓋： 檢查應(yīng)用系統(tǒng)的控制措施，以確保它們不因操作系統(tǒng)變更而損壞； 確保及時(shí)提供操作系統(tǒng)變更的通知，以便于在實(shí)施之前進(jìn)行合適的測(cè)試和評(píng)審； 應(yīng)對(duì)業(yè)務(wù)連續(xù)性計(jì)劃進(jìn)行適當(dāng)?shù)恼{(diào)整或變更。7.3.軟件包變更的限制1)控制措施應(yīng)對(duì)軟件包的修改進(jìn)行勸阻，限制必要的變更，且對(duì)所有的變更加以嚴(yán)格控制。2)實(shí)施指南如果可能且可行，應(yīng)使用廠商提供的軟件包，而無需修改。在必須修改軟件包時(shí)，應(yīng)考慮下列各點(diǎn)： 內(nèi)置控制措施和完整性過程被損壞的風(fēng)險(xiǎn)； 是否應(yīng)獲得廠商的同意； 當(dāng)標(biāo)準(zhǔn)程序更新時(shí)，從廠商獲得所需要變更的可能性；7.4.信息泄露1)控制措施應(yīng)防止信息泄露的可能性。2)實(shí)施指南應(yīng)考慮下列事項(xiàng)以限制信息泄露的風(fēng)險(xiǎn)，如通過利用隱蔽通道泄露敏感數(shù)據(jù)： 掃描可能隱藏信息的外發(fā)介質(zhì)和通信； 調(diào)整應(yīng)用系統(tǒng)和通信的行為，以減少第三方從這些行為中推斷信息的可能性； 監(jiān)視計(jì)算機(jī)系統(tǒng)的資源使用。7.5.系統(tǒng)驗(yàn)收應(yīng)確保驗(yàn)收新系統(tǒng)的要求和準(zhǔn)則被明確定義。新信息系統(tǒng)升級(jí)和新版本只有在獲得正式驗(yàn)收后，才能進(jìn)入生產(chǎn)環(huán)節(jié)。. 技術(shù)脆弱性的控制1)控制措施應(yīng)及時(shí)得到現(xiàn)用信息系統(tǒng)技術(shù)脆弱性的信息，從供應(yīng)商的官方網(wǎng)站或者相關(guān)的權(quán)威安全網(wǎng)站，獲得現(xiàn)用系統(tǒng)的技術(shù)脆弱性，評(píng)價(jià)組織對(duì)這些脆弱性的暴露程度，并采取適當(dāng)?shù)拇胧﹣硖幚硐嚓P(guān)的風(fēng)險(xiǎn)。2)實(shí)施指南應(yīng)采取適當(dāng)?shù)?、及時(shí)的措施以響應(yīng)潛在的技術(shù)脆弱性。建立有效的技術(shù)脆弱性管理過程，應(yīng)遵循下面的指南： 組織應(yīng)定義和建立與技術(shù)脆弱性管理相關(guān)的角色和職責(zé)，包括脆弱性監(jiān)視、脆弱性風(fēng)險(xiǎn)評(píng)估、打補(bǔ)丁、資產(chǎn)追蹤和協(xié)調(diào)責(zé)任； 一旦潛在的技術(shù)脆弱性被確定，組織應(yīng)識(shí)別相關(guān)的風(fēng)險(xiǎn)并采取措施；這些措施可能包括對(duì)脆弱的系統(tǒng)打補(bǔ)丁，或者應(yīng)用其它控制措施； 如果有可用的補(bǔ)丁，則應(yīng)評(píng)估安裝該補(bǔ)丁的風(fēng)險(xiǎn)； 在安裝補(bǔ)丁之前，應(yīng)進(jìn)行測(cè)試與評(píng)估，以確保它們是有效的，且不會(huì)導(dǎo)致不能容忍的負(fù)面影響； 處于高風(fēng)險(xiǎn)中的系統(tǒng)應(yīng)首先解決。. 公共網(wǎng)絡(luò)應(yīng)用服務(wù)的安全1)控制措施應(yīng)保護(hù)公共網(wǎng)絡(luò)中的應(yīng)用服務(wù)信息，以防止欺騙行為、合同糾紛、未授權(quán)泄露和修改。2)實(shí)施指南 確保在與合作伙伴的溝通中，完整地告知了他們有關(guān)服務(wù)供給或使用的授權(quán)； 合作伙伴間的應(yīng)用服務(wù)協(xié)議宜形成文件，該協(xié)議列出了雙方達(dá)成一致的服務(wù)條款 對(duì)于業(yè)務(wù)數(shù)據(jù)的保護(hù)依據(jù)《信息資產(chǎn)分級(jí)分類表》進(jìn)行管理； 確保訂單交易、支付信息、交付地址細(xì)節(jié)和接收確認(rèn)的保密性和完整性； 針對(duì)各產(chǎn)品線的風(fēng)險(xiǎn)評(píng)估活動(dòng)依據(jù)《風(fēng)險(xiǎn)評(píng)估管理制度》定期開展。10.應(yīng)用服務(wù)事務(wù)的保護(hù)1控制措施保護(hù)應(yīng)用服務(wù)事務(wù)中的信息以防止不完整的傳輸錯(cuò)誤路由未授權(quán)的消息變更、未授權(quán)的泄露、未授權(quán)的消息復(fù)制或重放 通過APP Web站點(diǎn)通過s 語(yǔ)音和信令是通過aes加密傳輸。2實(shí)施指南 對(duì)于業(yè)務(wù)數(shù)據(jù)、管理信息的保護(hù)依據(jù)嚴(yán)格的權(quán)限控制進(jìn)行管理； 事務(wù)的所有方面，即確保：1)各方的用戶秘密鑒別信息是有效的并經(jīng)過驗(yàn)證的；2)事務(wù)保持保密性；3)保持各方相關(guān)聯(lián)的隱私； 加密涉及的各方間的通信路徑； 在涉及的各方之間通信的協(xié)議是安全的； 確保事務(wù)細(xì)節(jié)存儲(chǔ)于任何公開可訪問環(huán)境之外，如存儲(chǔ)于組織內(nèi)部互聯(lián)網(wǎng)的存儲(chǔ)平臺(tái)，不留在或暴露于互聯(lián)網(wǎng)可直接訪問的存儲(chǔ)介質(zhì)上；11.安全的開發(fā)環(huán)境1)控制措施組織宜針對(duì)覆蓋系統(tǒng)開發(fā)全生命周期的系統(tǒng)開發(fā)和集成活動(dòng)，建立安全開發(fā)環(huán)境，并予以適當(dāng)保護(hù)。2)實(shí)施指南安全的開發(fā)環(huán)境包括與系統(tǒng)開發(fā)和集成相關(guān)的人員、過程和技術(shù)。組織宜評(píng)估與單個(gè)系統(tǒng)開發(fā)工作相關(guān)的風(fēng)險(xiǎn)，并為特定系統(tǒng)的開發(fā)工作建立安全的開發(fā)環(huán)境，考慮： 系統(tǒng)所處理、存儲(chǔ)和傳輸?shù)臄?shù)據(jù)的敏感性； 適用的外部和內(nèi)部要求，如法律法規(guī)或策略的要求； 組織已實(shí)現(xiàn)的支持系統(tǒng)開發(fā)的安全控制； 工作環(huán)境中人員的可信度； 分離不同開發(fā)環(huán)境的需求； 訪問開發(fā)環(huán)境的控制； 監(jiān)視環(huán)境及其所存儲(chǔ)代碼的變更； 在安全的異地存儲(chǔ)備份； 控制數(shù)據(jù)移入移出環(huán)境的活動(dòng)。一旦特定開發(fā)環(huán)境的保護(hù)級(jí)別被確定，組織宜將相應(yīng)的過程形成安全開發(fā)規(guī)程文件并提供給有需要的人員。12.項(xiàng)目管理中的信息安全1)控制措施宜關(guān)注項(xiàng)目管理中的信息安全問題，無論何種類型的項(xiàng)目。。2)實(shí)施指南項(xiàng)目啟動(dòng)前對(duì)人員和技術(shù)風(fēng)險(xiǎn)評(píng)估及合同評(píng)估。根據(jù)客戶要求簽訂保密協(xié)議使用的項(xiàng)目管理方法宜要求： 信息安全目的被納入項(xiàng)目目的； 為識(shí)別必要的控制，在項(xiàng)目的早期階段宜進(jìn)行信息安全風(fēng)險(xiǎn)評(píng)估； 信息安全作為所采用的項(xiàng)目管理方法各個(gè)階段的一部分。在所有項(xiàng)目中宜解決和定期評(píng)審信息安全問題。