項目應(yīng)用系統(tǒng)開發(fā)安全管理規(guī)范-文庫吧
2025-04-04 01:14 本頁面
【正文】 信息安全系列——美國國家標準技術(shù)院216。 英國國家信息安全標準BS7799216。 信息安全基礎(chǔ)保護IT Baseline Protection Manual (Germany)216。 BearingPoint Consulting 內(nèi)部信息安全標準216。 RU Secure安全技術(shù)標準216。 信息系統(tǒng)安全專家叢書Certificate Information Systems Security Professional 術(shù)語和定義216。 訪問控制access control 一種安全保證手段，即信息系統(tǒng)的資源只能由被授權(quán)實體按授權(quán)方式進行訪問，防止對資源的未授權(quán)使用。216。 應(yīng)用系統(tǒng) application system216。 認證 authentication a. 驗證用戶、設(shè)備和其他實體的身份； b. 驗證數(shù)據(jù)的完整性。216。 授權(quán)authorization 給予權(quán)利，包括信息資源訪問權(quán)的授予。216。 可用性availability 數(shù)據(jù)或資源的特性，被授權(quán)實體按要求能及時訪問和使用數(shù)據(jù)或資源。216。 緩沖器溢出 buffer overflow指通過往程序的緩沖區(qū)寫超出其長度的內(nèi)容，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其它指令，以達到攻擊的目的。216。 保密性confidentiality 數(shù)據(jù)所具有的特性，即表示數(shù)據(jù)所達到的未提供或未泄露給未授權(quán)的個人、過程或其他實體的程度。216。 隱藏通道 covert channel 可用來按照違反安全策略的方式傳送!數(shù)據(jù)的傳輸信道。216。 完整性integrity在防止非授權(quán)用戶修改或使用資源和防止授權(quán)用戶不正確地修改或使用資源的情況下,信息系統(tǒng)中的數(shù)據(jù)與在原文檔中的相同，并未遭受偶然或惡意的修改或破壞時所具的性質(zhì)。216。 敏感信息 sensitive information 由權(quán)威機構(gòu)確定的必須受保護的信息，因為該信息的泄露、修改、破壞或丟失都會對人或事產(chǎn)生可預(yù)知的損害。216。 系統(tǒng)測試 system testing用于確定系統(tǒng)的安全特征按設(shè)計要求實現(xiàn)的過程。這一過程包括現(xiàn)場功能測試、滲透測試和驗證。216。 后門代碼 trapdoor 通常為測試或查找故障而設(shè)置的一種隱藏的軟件或硬件機制，它能避開計算機安全。而且它能在非常規(guī)時間點或無需常規(guī)檢查的情況下進入程序。216。 特洛伊木馬Trojan horse 一種表面無害的程序，它包含惡性邏輯程序，導致未授權(quán)地收集、偽造或破壞數(shù)據(jù)，以此破壞計算機安全與完整性的進程。216。 驗證 verification 將某一活動、處理過程或產(chǎn)品與相應(yīng)的要求或規(guī)范相比較。216。 例：將某一規(guī)范與安全策略模型相比較，或者將目標代碼與源代碼相比較。216。 壓力測試 于確定系統(tǒng)的薄弱環(huán)節(jié)，確定系統(tǒng)在非正常條件下能夠迅速恢復到正常的運行狀態(tài)的能力。 應(yīng)用系統(tǒng)開發(fā)總體原則應(yīng)用系統(tǒng)的開發(fā)應(yīng)遵循一系列的總體原則，以確保開發(fā)過程中的安全。其中包括：216。 系統(tǒng)開發(fā)應(yīng)從業(yè)務(wù)需求的角度出發(fā)，不得盲目追求系統(tǒng)的先進性而忽略了系統(tǒng)的實用性。系統(tǒng)的開發(fā)是為了更好地滿足業(yè)務(wù)上的需要，而不是技術(shù)上的需要。216。 開發(fā)的方法和管理必須規(guī)范化、合理化、制度化，從而確保開發(fā)的質(zhì)量和進度。216。 應(yīng)保證開發(fā)的進度并按時完成。確保開發(fā)工作及時、有效且高質(zhì)量的完成。216。 系統(tǒng)開發(fā)必須具有一定的前瞻性，符合主流系統(tǒng)的發(fā)展方向。216。 提高和加強開發(fā)人員的安全意識。確保機密信息和關(guān)鍵技術(shù)不會泄漏，特別是不可泄漏到競爭對手的手中，否則將會對公司的競爭力產(chǎn)生極大的影響。216。 應(yīng)充分利用現(xiàn)有的資源。第2章 系統(tǒng)需求收集和分析階段 可行性研究分析對于應(yīng)用系統(tǒng)開發(fā)項目應(yīng)進行一定的可行性分析，以保證只有在確認具備了相當?shù)馁Y源和條件，并且有能力滿足業(yè)務(wù)上的需求的情況下才能開展開發(fā)工作。切忌盲目開發(fā)，否則既浪費資源，又浪費時間?？尚行匝芯恳藦募夹g(shù)、需求面、投入和影響四個方面進行考慮： 技術(shù)可行性分析根據(jù)業(yè)務(wù)上提出的需求，從技術(shù)開發(fā)的角度分析現(xiàn)有的技術(shù)手段和技術(shù)能力是否能夠?qū)崿F(xiàn)業(yè)務(wù)上所要求的系統(tǒng)功能。通?？蓮囊韵氯齻€方面進行分析：216。 人員技術(shù)能力分析，指公司內(nèi)的系統(tǒng)開發(fā)隊伍或外包的第三方開發(fā)公司是否具有足夠技術(shù)和管理能力來完成系統(tǒng)開發(fā)的任務(wù)。216。 計算機軟件和硬件分析，指公司現(xiàn)有的軟件和硬件的性能是否足夠滿足開發(fā)相應(yīng)的系統(tǒng)的要求。216。 管理能力分析，指現(xiàn)有的技術(shù)開發(fā)管理制度和管理流程是否成熟且標準化，是否滿足系統(tǒng)開發(fā)的要求。 需求可行性分析系統(tǒng)的開發(fā)來源于業(yè)務(wù)上的需求，因此需要對該需求進行可行性分析，以判斷需求是否明確，是否符合實際，是否在一定的時間范圍內(nèi)可以實現(xiàn)。 投資可行性分析根據(jù)業(yè)務(wù)需求和技術(shù)手段的分析，確認實現(xiàn)系統(tǒng)開發(fā)所需的投資，并確認投資的數(shù)額是否在可控制和可承受的范圍內(nèi)。 影響可行性分析所謂的影響是指社會影響，比如系統(tǒng)開發(fā)是否符合法律法規(guī)上的要求，是否和相關(guān)的管理制度或行業(yè)標準相抵觸，是否符合人文或道德上的約束等。 開發(fā)人員安全管理 系統(tǒng)開發(fā)人員職責分配在系統(tǒng)開發(fā)的過程中，應(yīng)明確不同人員的身份和職責。在系統(tǒng)開發(fā)過程中具體可分以下三種角色：216。 項目負責人員：確保在整個系統(tǒng)開發(fā)的各個階段都實施了相關(guān)的安全措施，同時在整個系統(tǒng)開發(fā)的過程中負責整個項目的開發(fā)安全管理。216。 系統(tǒng)開發(fā)人員：根據(jù)業(yè)務(wù)需求確保開發(fā)的系統(tǒng)能夠滿足業(yè)務(wù)上的需求和相應(yīng)的安全上的需求，同時滿足系統(tǒng)質(zhì)量上和進度上的要求。216。 系統(tǒng)審核人員：對整個開發(fā)的過程進行審核和監(jiān)督，確保開發(fā)的質(zhì)量和開發(fā)的安全。 開發(fā)人員授權(quán)216。 應(yīng)根據(jù)該員工在整個開發(fā)項目中所負責的開發(fā)內(nèi)容授予其相應(yīng)的權(quán)限和所應(yīng)承擔的責
公司管理相關(guān)推薦
鄂ICP備17016276號-1