信息系统获得、开发与维护控制规范[模板]

信息系统获得、开发与维护控制规范1-概述建立信息系统采购、信息系统使用、开发和维护的内部安全机制，保证开发过程安全为确保安全成为所开发的信息系统一个有机组成部分保障信息系统符合规定的安全要求，防止系统中重要数据的丢失、修改或滥用，确保系统安全、持续地运行内容采购系统的安全要求采购系统时，在采购要求中要考虑安全要求，如账户权限管理功能、日志功能、系统稳定性等，在采购的系统验收时，要对这些要求进行验收统的更新而带来不利的影响这过程应包括:1）检查应用系统的控制与完整性程序，确保它们不会受操作系统的改动所影响;2）确保每年的技术支持计划及预算，包括因改动操作系统而要进行的复查及系统测试费用;3）确保改动操作系统的通知要及时下达，让实施前可以作适当的复查;软件系统的安全控制要求在客户的需求或软件系统设计文档中体现，软件安全控制要求可以包括但不限于以下内容:a）对输入的数据做验证，保证输入数据正确:通过双输入或其他输入检测下列有关错误超范围数值；数据域中的无效字符；遗漏的或者不完整的数据；超出数据容量的上下限；未经授权或者不一致的控制数据；对合法性输入错误应有相关提示b）内部处理的控制1）防止信息在处理过程中被篡改和泄密；2）对中间处理信息进行加密或者转换；3）对中间处理信息进行检查，防止信息被篡改如通过MD

5、SHA等算法进行保护和校验;4）确保程序以正确顺序运行以及失败后自动终止；5）提供相应的工具或人工比较进行检查，并有相关提示c）输出数据验证1）检查输出数据，保证正确处理储存信息；2）模糊性检查测试输出数据是否合理；3）测验核实输出的相关提示d）文档安全:应用开发的整个过程的各阶段都应有开发文档的输出，内容包括开发各阶段输出的文档应有相应的安全性方面的内容；需求说明书中应明确描述用户的安全需求；设计中应有针对安全性需求的设计，并需要经过评审；在测试大纲或者测试方案中应有安全性测试方案，并以此进行安全性测试;文档应设定密级，及读者范围，以限定其访问范围；文档的访问控制应有相应的授权机制；文档作为软件系统中的配置项，应遵循软件配置管理要求e）源代码完整性保障1）源代码定期备份，异地保存，并定期测试异地保存的源代码是否可用；2）IT部技术人员办公电脑上一般只保留与本人开发工作相关的源代码；3）根据软件系统版本情况，及时将源代码最新版本导入源代码服务器中的指定库中4）严格限制对所有源代码的访问人员数量6）减少源代码被破坏的可能7）源代码尽可能不保存在业务系统上，如可能，业务系统只有执行代码;8）应注释代码中无用的代码；9）旧源程序版本应被保存，并对代码进行版本控制，确保代码的可用；如使用SVN控制软件对代码进行版本控制10）对代码的访问权限进行严格的权限控制，如可以对源代码的访问设置不同的访问权限，并有访问记录;11）所有运行代码库的更新都要有日志记录f）数据安全1）对系统测试数据进行保护；2）测试环境与生产环境分离；3）将测试数据和生产数据相分离；4）测试过程中，应对测试数据进行安全保护；5）测试完成之后，应立即将测试数据从测试系统中删除；g）变更安全1）原则上，不对企业的安全需求/供应商提供的软件包进行修改；2）如必须进行修改，首先应和企业/供应商联系并获得帮助，了解所需改动的可能性和潜在的风险如项目进度、成本等方面的风险；3）应按照变更控制程序对变更过程进行控制；4）实施变更应按照正式的变更控制程序/流程（申请、审批、修改计划、实施）进行严格的控制；5）应按合同要求，对客户提供软件支持维护，如果有补丁或帮助，应予以安装支持文件文件名称相关文件上层/上下游接口文件

7.记录的保存

8.文件拟制/修订记录名称定义采购是指信息系统的使用者采用付费的方式向厂商购买系统的使用权，系统的所有权归厂商所有服务提供商、承包商指专业系统开发公司、系统集成公司等记录名称移交责任人保存责任人保存场所归档时间保存期限到期处理方式///////版本拟制/修订责任人拟制/修订日期修订内容及理由批准人。