項目應用系統(tǒng)開發(fā)安全管理規(guī)范(已修改)
2025-05-01 01:14 本頁面
【正文】 ：項目應用開發(fā)等級保護規(guī)范密級：項目內(nèi)部項目應用系統(tǒng)開發(fā)安全管理規(guī)范（信息系統(tǒng)等級保護三級）二〇二二二〇二二年五月 WORD格式整理 范文范例參考 編 號 應用開發(fā)等級保護規(guī)范密 級 項目內(nèi)部 階 段 項目設(shè)計階段 頁 數(shù) 代 號 名 稱 建設(shè)單位 承建單位 會 簽 編 寫 校 對 審 核 標 審 批 準 關(guān)于本文檔說明：類型－創(chuàng)建（C）、修改（U）、刪除（D）、增加（A）； 目 錄第1章 概述 1 目標 1 適用范圍 1 規(guī)范引用的文件或標準 2 術(shù)語和定義 2 應用系統(tǒng)開發(fā)總體原則 3第2章 系統(tǒng)需求收集和分析階段 5 可行性研究分析 5 技術(shù)可行性分析 5 需求可行性分析 5 投資可行性分析 5 影響可行性分析 5 開發(fā)人員安全管理 6 系統(tǒng)開發(fā)人員職責分配 6 開發(fā)人員授權(quán) 6 開發(fā)人員必須訓練開發(fā)安全代碼的能力 6 分離系統(tǒng)開發(fā)和運作維護 7 建立系統(tǒng)開發(fā)安全需求分析報告 7第3章 系統(tǒng)設(shè)計階段的安全規(guī)范 8 單點訪問控制且無后門 8 人員職責和權(quán)限的定義 8 確保敏感系統(tǒng)的安全性 8 確保訪問層的安全性 8 確保日志管理機制健全 8 新系統(tǒng)的容量規(guī)劃 9第4章 系統(tǒng)開發(fā)階段安全規(guī)范 10 系統(tǒng)開發(fā)語言 10 通用規(guī)范 10 Perl語言 11 Java語言 13 C/C++語言 14 系統(tǒng)開發(fā)安全相關(guān)工具管理 17 工具一：Pscan 18 工具二：Flawfinder 18 控制軟件代碼程序庫 19 管理運作程序庫 19 管理源程序庫 19 在軟件開發(fā)過程變更管理 20 開發(fā)版本管理 21 控制程序清單 21 版本升級控制 21 版本變更控制 22 開發(fā)日志審核管理 22 開發(fā)日志定期審計 22 開發(fā)人員權(quán)限定期審計 22 防御后門代碼或隱藏通道 22 后門代碼和隱藏通道介紹 22 防御后門代碼和隱藏通道的相關(guān)辦法 23第5章 系統(tǒng)測試階段安全規(guī)范 24 應用系統(tǒng)的安全性檢測 24 設(shè)計詳細的測試計劃、測試范圍、測試方法和測試工具 24 測試種類 24 在測試的過程中詳細描述每個和測試方案相關(guān)的測試步驟和測試數(shù)據(jù) 26 控制測試環(huán)境 26 為測試使用真實的數(shù)據(jù) 26 在軟件轉(zhuǎn)移至生產(chǎn)環(huán)境前進行測試 27 應用系統(tǒng)安全質(zhì)量鑒定 27第6章 系統(tǒng)培訓及文檔階段安全規(guī)范 28 新系統(tǒng)的培訓 28 撰寫新系統(tǒng)和系統(tǒng)改進的文檔 28第7章 應用系統(tǒng)開發(fā)外包安全控制 29第8章 附錄 30 參考文獻 30 本規(guī)范用詞說明 32 為便于在執(zhí)行本規(guī)范條文時區(qū)別對待，對要求嚴格程度不同的用詞說明如下： 32 條文中指定應按其它有關(guān)標準、規(guī)范執(zhí)行時，寫法為“應符合……的規(guī)定”或“應按……要求（或規(guī)定）執(zhí)行”。 32第1章 概述信息系統(tǒng)的許多的安全控制或其他安全性保證是通過系統(tǒng)的開發(fā)設(shè)計予以實現(xiàn)的。因此如果在系統(tǒng)的開發(fā)設(shè)計階段沒有對系統(tǒng)的安全性給予充分的考慮，那么系統(tǒng)本身一定會存在許多先天不足，系統(tǒng)就會漏洞百出。為確保應用系統(tǒng)的安全，在應用系統(tǒng)開發(fā)之前就應確認系統(tǒng)的安全需求，并以此作為開發(fā)設(shè)計的階段的基礎(chǔ)。本規(guī)范主要規(guī)定了在系統(tǒng)開發(fā)的各個階段所應遵守的各種安全規(guī)范，從需求分析開始，到設(shè)計，再到開發(fā)和維護以及最后的文檔等系統(tǒng)開發(fā)的各個階段分別進行闡述，并將在不同階段中所需要注意的安全問題和相關(guān)的安全規(guī)范進行進一步的描述和規(guī)定。 目標保護應用系統(tǒng)開發(fā)過程的安全。具體地說就是保護應用系統(tǒng)開發(fā)過程免受未經(jīng)授權(quán)的訪問和更改，保護系統(tǒng)開發(fā)中系統(tǒng)軟件和信息的安全，確保開發(fā)項目順利正確的實施并對開發(fā)環(huán)境進行嚴格的控制。同時確保應用系統(tǒng)開發(fā)外包中的各項安全。 適用范圍本套規(guī)范適用的范圍包括了整個應用系統(tǒng)開發(fā)過程中的安全。包括了系統(tǒng)開發(fā)可行性和需求分析階段的安全，系統(tǒng)設(shè)計階段的安全，系統(tǒng)開發(fā)階段的安全，系統(tǒng)測試階段的安全，系統(tǒng)培訓和文檔階段的安全以及系統(tǒng)開發(fā)外包的安全規(guī)范。主要規(guī)定了應用系統(tǒng)開發(fā)過程的安全保密，軟件的質(zhì)量的要求，系統(tǒng)和業(yè)務需求的符合性，保證敏感信息的安全，系統(tǒng)本身的穩(wěn)定性和兼容性問題。 規(guī)范引用的文件或標準下列文件中的條款通過本標準的引用而成為本標準的條款。凡是不注日期的引用文件，其最新版本適用于本標準。216。 GB178591999 計算機信息系統(tǒng)安全保護等級劃分準則216。 GB/T 93871995 信息處理系統(tǒng) 開放系統(tǒng)互連基本參考模型（ISO7498 :1989）216。 GA/T 3912002 計算機信息系統(tǒng)安全等級保護管理要求216。 ISO/IEC TR 13355 信息技術(shù)安全管理指南216。 NIST
公司管理相關(guān)推薦
鄂ICP備17016276號-1