论软件生命周期的信息安全管理

《论软件生命周期的信息安全管理》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、论软件生命周期的信息安全管理论软件生命周期的信息安全管理论软件生命周期的信息安全管理论软件生命周期的信息安全管理　　1软件生命周期中信息安全管理控制　　在各主流IT或信息安全评价体系中，都或多或少对软件生命周期中的信息安全控制进行了要求和规定，本文综合了流行的ISO27000，Cobit5,PCI-DSS等评价体系，结合国家信息安全标准，及审计咨询公司常用的SOX,SAS70等第三方评价标准，就如何设计与实施软件生命周期中信息安全的相关控制点归纳总结如下　　软件生命周期中信息安全的整体要求　　(1)制定并发布正式的软件生命周期控制

2、文件：明确说明开发过程的控制方法和人员的行为准则，并应充分考虑对信息安全方面的要求，确保开发出来的系统可以满足公司整体信息安全的需要、相关法律法规的信息安全要求，以及特殊部门或流程的信息安全需要。(2)软件生命周期中对信息安全的总体要求：虽然由于系统所对应企业、部门、业务或流程的差异，每个系统的安全要求有所不同，例如通常来讲，金融行业对安全的要求较高，金融行业里，涉及客户信息、财务信息的系统安全要求较高等等。每个企业、部门必须根据自己的流程评估风险，确定对数据完整性、安全性、可用性的要求，从而进一步确定信息安全要求。　　对环境的要

3、求　　(1)确保开发环境与实际运行环境物理相分离，开发环境应该由一系列足以支持开发工作且尽量与生产环境接近的设备搭建而成，所有的开发和测试工作均应该在此开发环境中进行。在实际工作中，也可以实行开发环境、测试环境及生产环境的分离控制，或开发环境、测试环境、用户验收测试环境及生产环境的分离控制。在上述环境中，开发环境可以相对较弱，以可以支持代码开发、进行模块测试及基本的集成测试为标准；测试环境，特别是用户验收测试的测试环境，则要求较高，应与实际环境保持一致或尽可能接近。(2)对开发环境实施安全控制：例如未经授权的人员不得访问开发环境，

4、对开发中的软件实施严格的版本控制，开发环境的机器必须安装杀毒软件并及时更新病毒库，并及时对操作系统及相关应用软件进行补丁修正和升级。　　对人员的要求　　(1)软件生命周期中的工作人员必须具有足够的专业胜任能力及职业道德素养，足以从事相关工作。(2)对开发人员和测试人员实施职责分离，开发人员未经授权不得访问或修改生产环境的程序或数据。业务需求阶段在业务需求制定阶段，应注重对信息安全方面的需求制定。在业务需求书中，应明确对系统安全的详细要求，并在系统设计阶段开始之前，由各利益相关方书面确认。业务需求阶段完成后，任何对系统安全需求的修改

5、，也应视为对业务需求书的修改，需经过正式的系统变更流程。　　系统设计阶段　　(1)对系统进行整体设计和详细设计，通过分析系统的数据流，包括数据录入、系统内部模块间的数据传输、信息存储、数据库访问及管理、系统间数据传输，、数据输出等，确保实现所有过程中对数据的全面保护，特别是对特定业务的特定数据进行保护，例如密码，客户信息，财务数据等，对重要数据的存储和传输设置权限和校验，并进行加密。(2)在软件的应用层面应至少包含如下的控制设计：i)输入检查：对系统的输入数据进行验证，比如设置强制输入完成才可进一步处理的字段；对输入数据的类型或范

6、围进行检查，例如日期；对输入数据的长度进行检查，例如手机号码位数；对数据进行正确性校验，例如利用身份证校验码策略检查身份证号码，对比身份证号码与出生日期。ii)数据处理过程中的检查：对系统处理过程中的数据进行检查，比如在自动化转换或传输过程中，比对数据记录的总条数和数据总和；设置流程，提醒将系统数据与纸质数据进行比对验证。iii）输出检查：对输出结果的合理性进行系统检测，以及设置流程提示将系统输出数据与手工证据进行核对等。　　系统实施阶段　　制定代码编写安全规范，要求开发人员参照规范编写代码；严格禁止不安全的实施方法，例如将用户名

7、或密码编写在程序中，使用未经审核过的代码包，使用未授权的网络工具等。对源代码的访问和修改必须严格控制，例如通过配置管理工具进行代码访问及代码版本控制。　　系统测试阶段　　(1)系统测试整体要求：对系统测试验收的控制方法和人员行为准则应进行书面规定，确保系统在开发期间直至验收需对软件、硬件、服务等元素进行一系列的测试，确保系统及数据的完整性和可用性。对源于生产环境的测试数据去敏感化，如客户身份证信息等，在传输过程中进行加密，并确保在测试后被完全清除。(2)测试通常应覆盖业务需求书中的所有要求，包括系统功能、软硬件性能、平台兼容性、系

8、统容量、系统恢复等，也应特别保护对信息安全的测试，如防攻击测试、穿透性测试等。(3)用户接受测试：接收测试的测试人员应由非开发人员担当，且必须包含业务人员。测试范围应涉及系统所有的功能，包括数据库及操作系统。接收测试也应特别注意对系统安全方面的测试