項(xiàng)目應(yīng)用系統(tǒng)開發(fā)安全管理規(guī)范-文庫吧
2025-04-04 01:14 本頁面
【正文】 信息安全系列——美國(guó)國(guó)家標(biāo)準(zhǔn)技術(shù)院216。 英國(guó)國(guó)家信息安全標(biāo)準(zhǔn)BS7799216。 信息安全基礎(chǔ)保護(hù)IT Baseline Protection Manual (Germany)216。 BearingPoint Consulting 內(nèi)部信息安全標(biāo)準(zhǔn)216。 RU Secure安全技術(shù)標(biāo)準(zhǔn)216。 信息系統(tǒng)安全專家叢書Certificate Information Systems Security Professional 術(shù)語和定義216。 訪問控制access control 一種安全保證手段，即信息系統(tǒng)的資源只能由被授權(quán)實(shí)體按授權(quán)方式進(jìn)行訪問，防止對(duì)資源的未授權(quán)使用。216。 應(yīng)用系統(tǒng) application system216。 認(rèn)證 authentication a. 驗(yàn)證用戶、設(shè)備和其他實(shí)體的身份； b. 驗(yàn)證數(shù)據(jù)的完整性。216。 授權(quán)authorization 給予權(quán)利，包括信息資源訪問權(quán)的授予。216。 可用性availability 數(shù)據(jù)或資源的特性，被授權(quán)實(shí)體按要求能及時(shí)訪問和使用數(shù)據(jù)或資源。216。 緩沖器溢出 buffer overflow指通過往程序的緩沖區(qū)寫超出其長(zhǎng)度的內(nèi)容，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以達(dá)到攻擊的目的。216。 保密性confidentiality 數(shù)據(jù)所具有的特性，即表示數(shù)據(jù)所達(dá)到的未提供或未泄露給未授權(quán)的個(gè)人、過程或其他實(shí)體的程度。216。 隱藏通道 covert channel 可用來按照違反安全策略的方式傳送!數(shù)據(jù)的傳輸信道。216。 完整性integrity在防止非授權(quán)用戶修改或使用資源和防止授權(quán)用戶不正確地修改或使用資源的情況下,信息系統(tǒng)中的數(shù)據(jù)與在原文檔中的相同，并未遭受偶然或惡意的修改或破壞時(shí)所具的性質(zhì)。216。 敏感信息 sensitive information 由權(quán)威機(jī)構(gòu)確定的必須受保護(hù)的信息，因?yàn)樵撔畔⒌男孤?、修改、破壞或丟失都會(huì)對(duì)人或事產(chǎn)生可預(yù)知的損害。216。 系統(tǒng)測(cè)試 system testing用于確定系統(tǒng)的安全特征按設(shè)計(jì)要求實(shí)現(xiàn)的過程。這一過程包括現(xiàn)場(chǎng)功能測(cè)試、滲透測(cè)試和驗(yàn)證。216。 后門代碼 trapdoor 通常為測(cè)試或查找故障而設(shè)置的一種隱藏的軟件或硬件機(jī)制，它能避開計(jì)算機(jī)安全。而且它能在非常規(guī)時(shí)間點(diǎn)或無需常規(guī)檢查的情況下進(jìn)入程序。216。 特洛伊木馬Trojan horse 一種表面無害的程序，它包含惡性邏輯程序，導(dǎo)致未授權(quán)地收集、偽造或破壞數(shù)據(jù)，以此破壞計(jì)算機(jī)安全與完整性的進(jìn)程。216。 驗(yàn)證 verification 將某一活動(dòng)、處理過程或產(chǎn)品與相應(yīng)的要求或規(guī)范相比較。216。 例：將某一規(guī)范與安全策略模型相比較，或者將目標(biāo)代碼與源代碼相比較。216。 壓力測(cè)試 于確定系統(tǒng)的薄弱環(huán)節(jié)，確定系統(tǒng)在非正常條件下能夠迅速恢復(fù)到正常的運(yùn)行狀態(tài)的能力。 應(yīng)用系統(tǒng)開發(fā)總體原則應(yīng)用系統(tǒng)的開發(fā)應(yīng)遵循一系列的總體原則，以確保開發(fā)過程中的安全。其中包括：216。 系統(tǒng)開發(fā)應(yīng)從業(yè)務(wù)需求的角度出發(fā)，不得盲目追求系統(tǒng)的先進(jìn)性而忽略了系統(tǒng)的實(shí)用性。系統(tǒng)的開發(fā)是為了更好地滿足業(yè)務(wù)上的需要，而不是技術(shù)上的需要。216。 開發(fā)的方法和管理必須規(guī)范化、合理化、制度化，從而確保開發(fā)的質(zhì)量和進(jìn)度。216。 應(yīng)保證開發(fā)的進(jìn)度并按時(shí)完成。確保開發(fā)工作及時(shí)、有效且高質(zhì)量的完成。216。 系統(tǒng)開發(fā)必須具有一定的前瞻性，符合主流系統(tǒng)的發(fā)展方向。216。 提高和加強(qiáng)開發(fā)人員的安全意識(shí)。確保機(jī)密信息和關(guān)鍵技術(shù)不會(huì)泄漏，特別是不可泄漏到競(jìng)爭(zhēng)對(duì)手的手中，否則將會(huì)對(duì)公司的競(jìng)爭(zhēng)力產(chǎn)生極大的影響。216。 應(yīng)充分利用現(xiàn)有的資源。第2章 系統(tǒng)需求收集和分析階段 可行性研究分析對(duì)于應(yīng)用系統(tǒng)開發(fā)項(xiàng)目應(yīng)進(jìn)行一定的可行性分析，以保證只有在確認(rèn)具備了相當(dāng)?shù)馁Y源和條件，并且有能力滿足業(yè)務(wù)上的需求的情況下才能開展開發(fā)工作。切忌盲目開發(fā)，否則既浪費(fèi)資源，又浪費(fèi)時(shí)間?？尚行匝芯恳藦募夹g(shù)、需求面、投入和影響四個(gè)方面進(jìn)行考慮： 技術(shù)可行性分析根據(jù)業(yè)務(wù)上提出的需求，從技術(shù)開發(fā)的角度分析現(xiàn)有的技術(shù)手段和技術(shù)能力是否能夠?qū)崿F(xiàn)業(yè)務(wù)上所要求的系統(tǒng)功能。通?？蓮囊韵氯齻€(gè)方面進(jìn)行分析：216。 人員技術(shù)能力分析，指公司內(nèi)的系統(tǒng)開發(fā)隊(duì)伍或外包的第三方開發(fā)公司是否具有足夠技術(shù)和管理能力來完成系統(tǒng)開發(fā)的任務(wù)。216。 計(jì)算機(jī)軟件和硬件分析，指公司現(xiàn)有的軟件和硬件的性能是否足夠滿足開發(fā)相應(yīng)的系統(tǒng)的要求。216。 管理能力分析，指現(xiàn)有的技術(shù)開發(fā)管理制度和管理流程是否成熟且標(biāo)準(zhǔn)化，是否滿足系統(tǒng)開發(fā)的要求。 需求可行性分析系統(tǒng)的開發(fā)來源于業(yè)務(wù)上的需求，因此需要對(duì)該需求進(jìn)行可行性分析，以判斷需求是否明確，是否符合實(shí)際，是否在一定的時(shí)間范圍內(nèi)可以實(shí)現(xiàn)。 投資可行性分析根據(jù)業(yè)務(wù)需求和技術(shù)手段的分析，確認(rèn)實(shí)現(xiàn)系統(tǒng)開發(fā)所需的投資，并確認(rèn)投資的數(shù)額是否在可控制和可承受的范圍內(nèi)。 影響可行性分析所謂的影響是指社會(huì)影響，比如系統(tǒng)開發(fā)是否符合法律法規(guī)上的要求，是否和相關(guān)的管理制度或行業(yè)標(biāo)準(zhǔn)相抵觸，是否符合人文或道德上的約束等。 開發(fā)人員安全管理 系統(tǒng)開發(fā)人員職責(zé)分配在系統(tǒng)開發(fā)的過程中，應(yīng)明確不同人員的身份和職責(zé)。在系統(tǒng)開發(fā)過程中具體可分以下三種角色：216。 項(xiàng)目負(fù)責(zé)人員：確保在整個(gè)系統(tǒng)開發(fā)的各個(gè)階段都實(shí)施了相關(guān)的安全措施，同時(shí)在整個(gè)系統(tǒng)開發(fā)的過程中負(fù)責(zé)整個(gè)項(xiàng)目的開發(fā)安全管理。216。 系統(tǒng)開發(fā)人員：根據(jù)業(yè)務(wù)需求確保開發(fā)的系統(tǒng)能夠滿足業(yè)務(wù)上的需求和相應(yīng)的安全上的需求，同時(shí)滿足系統(tǒng)質(zhì)量上和進(jìn)度上的要求。216。 系統(tǒng)審核人員：對(duì)整個(gè)開發(fā)的過程進(jìn)行審核和監(jiān)督，確保開發(fā)的質(zhì)量和開發(fā)的安全。 開發(fā)人員授權(quán)216。 應(yīng)根據(jù)該員工在整個(gè)開發(fā)項(xiàng)目中所負(fù)責(zé)的開發(fā)內(nèi)容授予其相應(yīng)的權(quán)限和所應(yīng)承擔(dān)的責(zé)
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1