項(xiàng)目應(yīng)用系統(tǒng)開發(fā)安全管理規(guī)范-wenkub
2023-05-04 01:14:28 本頁(yè)面
【正文】 （信息系統(tǒng)等級(jí)保護(hù)三級(jí)）二〇二二二〇二二年五月 WORD格式整理 范文范例參考 編 號(hào) 應(yīng)用開發(fā)等級(jí)保護(hù)規(guī)范密 級(jí) 項(xiàng)目?jī)?nèi)部 階 段 項(xiàng)目設(shè)計(jì)階段 頁(yè) 數(shù) 代 號(hào) 名 稱 建設(shè)單位 承建單位 會(huì) 簽 編 寫 校 對(duì) 審 核 標(biāo) 審 批 準(zhǔn) 關(guān)于本文檔說明：類型－創(chuàng)建（C）、修改（U）、刪除（D）、增加（A）； 目 錄第1章 概述 1 目標(biāo) 1 適用范圍 1 規(guī)范引用的文件或標(biāo)準(zhǔn) 2 術(shù)語(yǔ)和定義 2 應(yīng)用系統(tǒng)開發(fā)總體原則 3第2章 系統(tǒng)需求收集和分析階段 5 可行性研究分析 5 技術(shù)可行性分析 5 需求可行性分析 5 投資可行性分析 5 影響可行性分析 5 開發(fā)人員安全管理 6 系統(tǒng)開發(fā)人員職責(zé)分配 6 開發(fā)人員授權(quán) 6 開發(fā)人員必須訓(xùn)練開發(fā)安全代碼的能力 6 分離系統(tǒng)開發(fā)和運(yùn)作維護(hù) 7 建立系統(tǒng)開發(fā)安全需求分析報(bào)告 7第3章 系統(tǒng)設(shè)計(jì)階段的安全規(guī)范 8 單點(diǎn)訪問控制且無(wú)后門 8 人員職責(zé)和權(quán)限的定義 8 確保敏感系統(tǒng)的安全性 8 確保訪問層的安全性 8 確保日志管理機(jī)制健全 8 新系統(tǒng)的容量規(guī)劃 9第4章 系統(tǒng)開發(fā)階段安全規(guī)范 10 系統(tǒng)開發(fā)語(yǔ)言 10 通用規(guī)范 10 Perl語(yǔ)言 11 Java語(yǔ)言 13 C/C++語(yǔ)言 14 系統(tǒng)開發(fā)安全相關(guān)工具管理 17 工具一：Pscan 18 工具二：Flawfinder 18 控制軟件代碼程序庫(kù) 19 管理運(yùn)作程序庫(kù) 19 管理源程序庫(kù) 19 在軟件開發(fā)過程變更管理 20 開發(fā)版本管理 21 控制程序清單 21 版本升級(jí)控制 21 版本變更控制 22 開發(fā)日志審核管理 22 開發(fā)日志定期審計(jì) 22 開發(fā)人員權(quán)限定期審計(jì) 22 防御后門代碼或隱藏通道 22 后門代碼和隱藏通道介紹 22 防御后門代碼和隱藏通道的相關(guān)辦法 23第5章 系統(tǒng)測(cè)試階段安全規(guī)范 24 應(yīng)用系統(tǒng)的安全性檢測(cè) 24 設(shè)計(jì)詳細(xì)的測(cè)試計(jì)劃、測(cè)試范圍、測(cè)試方法和測(cè)試工具 24 測(cè)試種類 24 在測(cè)試的過程中詳細(xì)描述每個(gè)和測(cè)試方案相關(guān)的測(cè)試步驟和測(cè)試數(shù)據(jù) 26 控制測(cè)試環(huán)境 26 為測(cè)試使用真實(shí)的數(shù)據(jù) 26 在軟件轉(zhuǎn)移至生產(chǎn)環(huán)境前進(jìn)行測(cè)試 27 應(yīng)用系統(tǒng)安全質(zhì)量鑒定 27第6章 系統(tǒng)培訓(xùn)及文檔階段安全規(guī)范 28 新系統(tǒng)的培訓(xùn) 28 撰寫新系統(tǒng)和系統(tǒng)改進(jìn)的文檔 28第7章 應(yīng)用系統(tǒng)開發(fā)外包安全控制 29第8章 附錄 30 參考文獻(xiàn) 30 本規(guī)范用詞說明 32 為便于在執(zhí)行本規(guī)范條文時(shí)區(qū)別對(duì)待，對(duì)要求嚴(yán)格程度不同的用詞說明如下： 32 條文中指定應(yīng)按其它有關(guān)標(biāo)準(zhǔn)、規(guī)范執(zhí)行時(shí)，寫法為“應(yīng)符合……的規(guī)定”或“應(yīng)按……要求（或規(guī)定）執(zhí)行”。本規(guī)范主要規(guī)定了在系統(tǒng)開發(fā)的各個(gè)階段所應(yīng)遵守的各種安全規(guī)范，從需求分析開始，到設(shè)計(jì)，再到開發(fā)和維護(hù)以及最后的文檔等系統(tǒng)開發(fā)的各個(gè)階段分別進(jìn)行闡述，并將在不同階段中所需要注意的安全問題和相關(guān)的安全規(guī)范進(jìn)行進(jìn)一步的描述和規(guī)定。 適用范圍本套規(guī)范適用的范圍包括了整個(gè)應(yīng)用系統(tǒng)開發(fā)過程中的安全。凡是不注日期的引用文件，其最新版本適用于本標(biāo)準(zhǔn)。 GA/T 3912002 計(jì)算機(jī)信息系統(tǒng)安全等級(jí)保護(hù)管理要求216。 信息安全基礎(chǔ)保護(hù)IT Baseline Protection Manual (Germany)216。 訪問控制access control 一種安全保證手段，即信息系統(tǒng)的資源只能由被授權(quán)實(shí)體按授權(quán)方式進(jìn)行訪問，防止對(duì)資源的未授權(quán)使用。216。216。216。216。這一過程包括現(xiàn)場(chǎng)功能測(cè)試、滲透測(cè)試和驗(yàn)證。216。216。 應(yīng)用系統(tǒng)開發(fā)總體原則應(yīng)用系統(tǒng)的開發(fā)應(yīng)遵循一系列的總體原則，以確保開發(fā)過程中的安全。216。確保開發(fā)工作及時(shí)、有效且高質(zhì)量的完成。 提高和加強(qiáng)開發(fā)人員的安全意識(shí)。第2章 系統(tǒng)需求收集和分析階段 可行性研究分析對(duì)于應(yīng)用系統(tǒng)開發(fā)項(xiàng)目應(yīng)進(jìn)行一定的可行性分析，以保證只有在確認(rèn)具備了相當(dāng)?shù)馁Y源和條件，并且有能力滿足業(yè)務(wù)上的需求的情況下才能開展開發(fā)工作。 人員技術(shù)能力分析，指公司內(nèi)的系統(tǒng)開發(fā)隊(duì)伍或外包的第三方開發(fā)公司是否具有足夠技術(shù)和管理能力來(lái)完成系統(tǒng)開發(fā)的任務(wù)。 管理能力分析，指現(xiàn)有的技術(shù)開發(fā)管理制度和管理流程是否成熟且標(biāo)準(zhǔn)化，是否滿足系統(tǒng)開發(fā)的要求。 開發(fā)人員安全管理 系統(tǒng)開發(fā)人員職責(zé)分配在系統(tǒng)開發(fā)的過程中，應(yīng)明確不同人員的身份和職責(zé)。 系統(tǒng)開發(fā)人員：根據(jù)業(yè)務(wù)需求確保開發(fā)的系統(tǒng)能夠滿足業(yè)務(wù)上的需求和相應(yīng)的安全上的需求，同時(shí)滿足系統(tǒng)質(zhì)量上和進(jìn)度上的要求。 應(yīng)根據(jù)該員工在整個(gè)開發(fā)項(xiàng)目中所負(fù)責(zé)的開發(fā)內(nèi)容授予其相應(yīng)的權(quán)限和所應(yīng)承擔(dān)的責(zé)任。216。 應(yīng)根據(jù)員工權(quán)限和責(zé)任的大小確認(rèn)是
公司管理相關(guān)推薦
鄂ICP備17016276號(hào)-1