信息系統(tǒng)獲取、開發(fā)與維護管理制度目 錄. 目的和范圍 2. 引用文件 2. 職責和權(quán)限 2. 確定信息系統(tǒng)安全需求 2. 在應用中建立安全措施 錯誤未定義書簽。5.1. 輸入數(shù)據(jù)驗證 錯誤未定義書簽。5.2. 內(nèi)部處理的控制 錯誤未定義書簽。5.3. 輸出數(shù)據(jù)驗證 錯誤未定義書簽。. 密碼控制 36.1. 使用密碼控制的策略 36.2. 密鑰管理 4. 系統(tǒng)文件的安全 47.1. 運行軟件的控制 47.2. 系統(tǒng)測試數(shù)據(jù)的保護 57.3. 對程序源代碼的訪問控制 57.4. 測試和運行設(shè)施分離 57.5. 系統(tǒng)安全性測試 6. 開發(fā)和支持過程中的安全 68.1. 變更控制制度 68.2. 操作系統(tǒng)變更后應用的技術(shù)評審 68.3. 軟件包變更的限制 68.4. 信息泄露 78.5. 系統(tǒng)驗收 7. 技術(shù)脆弱性的控制 710. 公共網(wǎng)絡應用服務的安全 8. 安全的開發(fā)環(huán)境 812. 項目管理中的信息安全 1013. 支持文件 10. 目的和范圍為確保安全成為所開發(fā)的信息系統(tǒng)一個有機組成部分，保證開發(fā)過程安全，特制定本程序。適用于本公司所有信息系統(tǒng)的開發(fā)活動，信息系統(tǒng)內(nèi)在安全性的管理。本制度作為軟件開發(fā)項目管理規(guī)定的補充，而不是作為軟件開發(fā)項目管理的整體規(guī)范。. 引用文件1)下列文件中的條款通過本規(guī)定的引用而成為本規(guī)定的條款。凡是注日期的引用文件，其隨后所有的修改單（不包括勘誤的內(nèi)容）或修訂版均不適用于本標準，然而，鼓勵各部門研究是否可使用這些文件的最新版本。凡是不注日期的引用文件，其最新版本適用于本標準。2)T22080-2016/ISO/IEC3術(shù)安全技術(shù)-信息安全管理體系要求3)T22081-2016/ISO/IEC27002:2013術(shù)安全技術(shù)-信息安全管理實施細則. 職責和權(quán)限開發(fā)部門：負責信息系統(tǒng)開發(fā)過程中的安全管理,負責保證開發(fā)過程安全。管理人員負責源代碼的安全管理。. 確定信息系統(tǒng)安全需求1)控制描述在新的信息系統(tǒng)或增強已有信息系統(tǒng)的業(yè)務要求陳述中，應規(guī)定對安全控制措施的要求。2)安全要求在軟件開發(fā)生命周期中的分布如下圖所示：問題定義問題定義軟件開發(fā)計劃包含安全要求風險評估需求分析需求說明書總體設(shè)計詳細設(shè)計安全功實編碼測試測試安全要求維護更改安全要求3)安全需求分析內(nèi)容可包括以下項： 確認需要保護的資產(chǎn)； 評估這些資產(chǎn)需要采取什么安全控制措施； 考慮是否在系統(tǒng)中加入自動安全控制措施還是建立人工安全控制措施。4)需求開發(fā)與需求管理過程參見《軟件開發(fā)安全管理辦法》的需求開發(fā)與需求管理過程的管理部分。. 密碼控制5.1.使用密碼控制的策略1)控制描述應開發(fā)和實施使用密碼控制措施來保護信息的策略。2)實施指南制定密碼策略時，應考慮下列（但不僅限于）內(nèi)容： 組織間使用密碼控制的管理方法，包括保護業(yè)務信息的一般原則； 使用加密技術(shù)保護通過可移動介質(zhì)、設(shè)備或者通過通信線路傳輸?shù)拿舾行畔ⅲ?基于風險評估，應確定需要的保護級別，并考慮需要的加密算法的類型、強度和質(zhì)量； 加密可能帶來不利影響。由于某些控制措施依賴于內(nèi)容檢查，要求數(shù)據(jù)處于未加密狀態(tài)（應確認加密前的病毒檢測。5.2.密鑰管理1)控制描述應有密鑰管理以支持組織使用密碼技術(shù)。2)實施指南應保護所有的密碼密鑰免遭修改、丟失和毀壞。另外，秘密和私有密鑰需要防范非授權(quán)的泄露。用來生成、存儲和歸檔密鑰的設(shè)備應進行物理保護。對于一些部門所使用USBKE密鑰必須做到專人保管、專人使用，不用時必須防止在保柜內(nèi)或帶鎖的鐵柜中妥善保管。（按一級數(shù)據(jù)資產(chǎn)和硬件資產(chǎn)實施保護）. 系統(tǒng)文件的安全6.1.運行軟件的控制1)控制措施應有制度來控制在運行系統(tǒng)上安裝軟件。2) 實施指南 應僅由受過培訓的管理員，在取得管理授權(quán)之后，進行軟件、應用和程序庫的更新； 操作系統(tǒng)應僅安裝經(jīng)過批準的可執(zhí)行代碼，不安裝開發(fā)代碼和編譯程序，如特殊情況下，在不影響系統(tǒng)運行調(diào)試時需安裝開發(fā)代碼和編譯程序，在調(diào)試完成后，立即卸載并刪除所有代碼和程序目錄。 在系統(tǒng)安裝前，應有完整的安裝步驟。6.2.系統(tǒng)測試數(shù)據(jù)的保護1)控制措施測試數(shù)據(jù)應認真地加以選擇、保護和控制。2)實施指南應避免使用包含敏感數(shù)據(jù)的運行數(shù)據(jù)庫用于測試。如果測試使用了個人或其他敏感信息，那么在完成測試之后應去除或修改所有的敏感細節(jié)和內(nèi)容。當用于測試時，應使用下列（但不僅限于）指南保護運行數(shù)據(jù)：正式系統(tǒng)上的訪問控制措施也要應用到測試系統(tǒng)上； 在測試中使用敏感數(shù)據(jù)應取得適當?shù)氖跈?quán)； 在測試完成之后，應從測試系統(tǒng)清除主要的敏感數(shù)據(jù)；6.3.對程序源代碼的訪問控制1)控制措施應限制訪問程序源代碼。2)實施指南格控制，以防引入非授權(quán)功能和避免無意識的變更。對于程序源代碼的保存，通限于）指南：若有可能，在運行系統(tǒng)中不應保留源程序庫； 應限制客服和技術(shù)支持人員訪問配置管理庫； 更新配置項或向程序員發(fā)布程序源碼應獲得適當?shù)氖跈?quán)； 應維護配置庫的訪問日志；6.4.測試和運行設(shè)施分離為防止運行問題，需識別運行與測試環(huán)境之間的分離級別： 測試環(huán)境與運行環(huán)境要嚴格分離，不允許在運行環(huán)境中進行測試工作； 測試系統(tǒng)要盡可能的仿效運行系統(tǒng)的環(huán)境； 敏感數(shù)據(jù)不要拷貝到測試系統(tǒng)環(huán)境中。6.5.系統(tǒng)安全性測試 系統(tǒng)安全性測試需要開發(fā)人員測試，開發(fā)人員相互測試，測試小組測試； 測試完成后，應該消除測試用的后門、用戶名及口令等。. 開發(fā)和支持過程中的安全7.1.變更控制制度1)控制措施嚴格控制軟件包的變更，只限于必要的變更。關(guān)鍵應用的操作系統(tǒng)的變更，要進行評審和測試。應使用正式的變更控制制度控制變更的實施。2)實施指南應按《變更管理規(guī)定執(zhí)行相應的變更操作，以將信息系統(tǒng)的損壞減到最小。7.2.操作系統(tǒng)變更后應用的技術(shù)評審1)控制措施當操作系統(tǒng)發(fā)生變更后，應對業(yè)務的關(guān)鍵應用進行評審和測試，以確保對組織的運行和安全沒有負面影響。2)實施指南這一過程應涵蓋： 檢查應用系統(tǒng)的控制措施，以確保它們不因操作系統(tǒng)變更而損壞； 確保及時提供操作系統(tǒng)變更的通知，以便于在實施之前進行合適的測試和評審； 應對業(yè)務連續(xù)性計劃進行適當?shù)恼{(diào)整或變更。7.3.軟件包變更的限制1)控制措施應對軟件包的修改進行勸阻，限制必要的變更，且對所有的變更加以嚴格控制。2)實施指南如果可能且可行，應使用廠商提供的軟件包，而無需修改。在必須修改軟件包時，應考慮下列各點： 內(nèi)置控制措施和完整性過程被損壞的風險； 是否應獲得廠商的同意； 當標準程序更新時，從廠商獲得所需要變更的可能性；7.4.信息泄露1)控制措施應防止信息泄露的可能性。2)實施指南應考慮下列事項以限制信息泄露的風險，如通過利用隱蔽通道泄露敏感數(shù)據(jù)： 掃描可能隱藏信息的外發(fā)介質(zhì)和通信； 調(diào)整應用系統(tǒng)和通信的行為，以減少第三方從這些行為中推斷信息的可能性； 監(jiān)視計算機系統(tǒng)的資源使用。7.5.系統(tǒng)驗收應確保驗收新系統(tǒng)的要求和準則被明確定義。新信息系統(tǒng)升級和新版本只有在獲得正式驗收后，才能進入生產(chǎn)環(huán)節(jié)。. 技術(shù)脆弱性的控制1)控制措施應及時得到現(xiàn)用信息系統(tǒng)技術(shù)脆弱性的信息，從供應商的官方網(wǎng)站或者相關(guān)的權(quán)威安全網(wǎng)站，獲得現(xiàn)用系統(tǒng)的技術(shù)脆弱性，評價組織對這些脆弱性的暴露程度，并采取適當?shù)拇胧﹣硖幚硐嚓P(guān)的風險。2)實施指南應采取適當?shù)?、及時的措施以響應潛在的技術(shù)脆弱性。建立有效的技術(shù)脆弱性管理過程，應遵循下面的指南： 組織應定義和建立與技術(shù)脆弱性管理相關(guān)的角色和職責，包括脆弱性監(jiān)視、脆弱性風險評估、打補丁、資產(chǎn)追蹤和協(xié)調(diào)責任； 一旦潛在的技術(shù)脆弱性被確定，組織應識別相關(guān)的風險并采取措施；這些措施可能包括對脆弱的系統(tǒng)打補丁，或者應用其它控制措施； 如果有可用的補丁，則應評估安裝該補丁的風險； 在安裝補丁之前，應進行測試與評估，以確保它們是有效的，且不會導致不能容忍的負面影響； 處于高風險中的系統(tǒng)應首先解決。. 公共網(wǎng)絡應用服務的安全1)控制措施應保護公共網(wǎng)絡中的應用服務信息，以防止欺騙行為、合同糾紛、未授權(quán)泄露和修改。2)實施指南 確保在與合作伙伴的溝通中，完整地告知了他們有關(guān)服務供給或使用的授權(quán)； 合作伙伴間的應用服務協(xié)議宜形成文件，該協(xié)議列出了雙方達成一致的服務條款 對于業(yè)務數(shù)據(jù)的保護依據(jù)《信息資產(chǎn)分級分類表》進行管理； 確保訂單交易、支付信息、交付地址細節(jié)和接收確認的保密性和完整性； 針對各產(chǎn)品線的風險評估活動依據(jù)《風險評估管理制度》定期開展。10.應用服務事務的保護1控制措施保護應用服務事務中的信息以防止不完整的傳輸錯誤路由未授權(quán)的消息變更、未授權(quán)的泄露、未授權(quán)的消息復制或重放 通過APP Web站點通過s 語音和信令是通過aes加密傳輸。2實施指南 對于業(yè)務數(shù)據(jù)、管理信息的保護依據(jù)嚴格的權(quán)限控制進行管理； 事務的所有方面，即確保：1)各方的用戶秘密鑒別信息是有效的并經(jīng)過驗證的；2)事務保持保密性；3)保持各方相關(guān)聯(lián)的隱私； 加密涉及的各方間的通信路徑； 在涉及的各方之間通信的協(xié)議是安全的； 確保事務細節(jié)存儲于任何公開可訪問環(huán)境之外，如存儲于組織內(nèi)部互聯(lián)網(wǎng)的存儲平臺，不留在或暴露于互聯(lián)網(wǎng)可直接訪問的存儲介質(zhì)上；11.安全的開發(fā)環(huán)境1)控制措施組織宜針對覆蓋系統(tǒng)開發(fā)全生命周期的系統(tǒng)開發(fā)和集成活動，建立安全開發(fā)環(huán)境，并予以適當保護。2)實施指南安全的開發(fā)環(huán)境包括與系統(tǒng)開發(fā)和集成相關(guān)的人員、過程和技術(shù)。組織宜評估與單個系統(tǒng)開發(fā)工作相關(guān)的風險，并為特定系統(tǒng)的開發(fā)工作建立安全的開發(fā)環(huán)境，考慮： 系統(tǒng)所處理、存儲和傳輸?shù)臄?shù)據(jù)的敏感性； 適用的外部和內(nèi)部要求，如法律法規(guī)或策略的要求； 組織已實現(xiàn)的支持系統(tǒng)開發(fā)的安全控制； 工作環(huán)境中人員的可信度； 分離不同開發(fā)環(huán)境的需求； 訪問開發(fā)環(huán)境的控制； 監(jiān)視環(huán)境及其所存儲代碼的變更； 在安全的異地存儲備份； 控制數(shù)據(jù)移入移出環(huán)境的活動。一旦特定開發(fā)環(huán)境的保護級別被確定，組織宜將相應的過程形成安全開發(fā)規(guī)程文件并提供給有需要的人員。12.項目管理中的信息安全1)控制措施宜關(guān)注項目管理中的信息安全問題，無論何種類型的項目。。2)實施指南項目啟動前對人員和技術(shù)風險評估及合同評估。根據(jù)客戶要求簽訂保密協(xié)議使用的項目管理方法宜要求： 信息安全目的被納入項目目的； 為識別必要的控制，在項目的早期階段宜進行信息安全風險評估； 信息安全作為所采用的項目管理方法各個階段的一部分。在所有項目中宜解決和定期評審信息安全問題。