xxx軟件開發(fā)安全管理規(guī)定

第一章

總則

第一條

為加強(qiáng)xxx軟件開發(fā)的安全管理，保護(hù)軟件開發(fā)中軟件和信息的安全，依據(jù)《》、《》等要求，特制訂本規(guī)定。

第二條

本規(guī)定適用于xxx軟件開發(fā)過程中需求分析、設(shè)計(jì)、開發(fā)及測試等階段的安全管理。

第二章

軟件安全需求分析

第三條

業(yè)務(wù)需求提出人員應(yīng)會同需求分析人員，確定業(yè)務(wù)持續(xù)性、輸入輸出、身份欺騙及抗抵賴等方面的業(yè)務(wù)風(fēng)險(xiǎn)。

第四條

業(yè)務(wù)需求提出人員應(yīng)會同需求分析人員，依據(jù)業(yè)務(wù)風(fēng)險(xiǎn)，提出系統(tǒng)功能、性能及數(shù)據(jù)等方面的業(yè)務(wù)安全需求。

第五條

需求分析人員應(yīng)根據(jù)業(yè)務(wù)安全需求，進(jìn)行資產(chǎn)識別、資產(chǎn)分析和風(fēng)險(xiǎn)分析，確定軟件的安全需求。

第六條

需求分析人員應(yīng)明確軟件系統(tǒng)的安全目標(biāo)，并提交安全需求規(guī)格說明書（或需求規(guī)格說明書包括安全需求部分），包括系統(tǒng)需要保護(hù)的要素、保護(hù)程度，應(yīng)用系統(tǒng)中存在的威脅、脆弱性及其風(fēng)險(xiǎn)等。

第七條

xx部門應(yīng)會同信息安全相關(guān)處室組織對整體安全目標(biāo)進(jìn)行評審并確認(rèn)。

第三章

軟件安全設(shè)計(jì)

第八條

設(shè)計(jì)人員應(yīng)根據(jù)安全目標(biāo)進(jìn)行安全設(shè)計(jì)，在符合xxx信息化架構(gòu)規(guī)劃的基礎(chǔ)上，確保安全功能的完整實(shí)現(xiàn)，并提交安全設(shè)計(jì)方案（或總體方案設(shè)計(jì)文檔中包括安全方案設(shè)計(jì)部分）。

第九條

安全設(shè)計(jì)應(yīng)遵循：

(一)保護(hù)最薄弱的環(huán)節(jié)原則：保護(hù)最易受攻擊影響的部分；

(二)縱深防御原則：不同層面、不同角度之間需要相互配合；

(三)最小權(quán)限原則：只授予執(zhí)行操作所需的最小權(quán)限；

(四)最小共享原則：使共享文件資源盡可能少；

(五)權(quán)限分離原則：授予不同用戶所需的最小權(quán)限，并在它們之間形成相互制約的關(guān)系。

第十條

安全設(shè)計(jì)應(yīng)包括：

(一)確定安全體系架構(gòu)，設(shè)計(jì)安全協(xié)議和安全接口；

(二)確定訪問控制與身份鑒別機(jī)制，定義主體角色和權(quán)限；

(三)信息輸入的安全過濾，信息輸出的校驗(yàn)和控制；

(四)數(shù)據(jù)結(jié)構(gòu)安全設(shè)計(jì)，選擇加密方法和算法；

(五)確定敏感數(shù)據(jù)保護(hù)方法；

(六)內(nèi)部處理邏輯安全設(shè)計(jì)；

(七)評估內(nèi)部通信機(jī)制，確定完整性機(jī)制。

第十一條

xx部門會同信息安全相關(guān)處室組織對安全設(shè)計(jì)方案進(jìn)行評審并確認(rèn)。

第四章

軟件安全開發(fā)

第十二條

開發(fā)人員根據(jù)安全設(shè)計(jì)方案進(jìn)行系統(tǒng)安全開發(fā)，確保開發(fā)環(huán)境、編碼及系統(tǒng)流程控制的安全。

第十三條

開發(fā)環(huán)境安全管理要求：

(一)軟件系統(tǒng)開發(fā)、測試不得在生產(chǎn)環(huán)境中進(jìn)行；

(二)開發(fā)環(huán)境中所使用的操作系統(tǒng)、開發(fā)工具、數(shù)據(jù)庫等必須是正版軟件；

(三)開發(fā)環(huán)境中的開發(fā)用機(jī)應(yīng)進(jìn)行統(tǒng)一安全配置，及時(shí)進(jìn)行系統(tǒng)補(bǔ)丁升級和漏洞修復(fù)。

第十四條

編碼安全要求：

(一)遵循代碼編寫安全規(guī)范，根據(jù)代碼編寫安全規(guī)范以及安全設(shè)計(jì)方案進(jìn)行系統(tǒng)開發(fā)；

(二)遵循通用安全編程準(zhǔn)則，包括輸入驗(yàn)證、緩存溢出、安全調(diào)用組件和程序編譯等；

(三)遵循機(jī)密性要求，保護(hù)用戶訪問信息的機(jī)密性，嚴(yán)禁在客戶端存放敏感數(shù)據(jù)，避免內(nèi)存溢出，嚴(yán)格檢查和驗(yàn)證輸入輸出信息等；

(四)遵循結(jié)構(gòu)化異常處理機(jī)制，捕捉并處理程序異常，防止系統(tǒng)信息泄露；

(五)遵循代碼脆弱性防范要求，包括緩沖區(qū)溢出、SQL注入、跨站腳本攻擊、XML注入攻擊、HTTP

HEAD注入等。

第十五條

開發(fā)流程安全要求：

(一)開發(fā)過程中應(yīng)對階段性開發(fā)成果進(jìn)行有效管理；

(二)開發(fā)過程中應(yīng)定期進(jìn)行代碼靜態(tài)分析，使用代碼審核工具對源代碼進(jìn)行檢測，并報(bào)告源代碼中存在的安全弱點(diǎn)。

第十六條

開發(fā)人員不得超越其規(guī)定權(quán)限進(jìn)行開發(fā)，不得在程序中設(shè)置后門或惡意代碼程序。

第五章

軟件安全測試

第十七條

測試內(nèi)容應(yīng)包括代碼的安全測試和安全功能測試。代碼的安全測試是指使用代碼測試工具來識別代碼的安全脆弱性，并應(yīng)按照其提供的修復(fù)建議進(jìn)行修復(fù)。安全功能測試主要包括身份認(rèn)證和訪問控制的功能測試。

第十八條

測試系統(tǒng)環(huán)境應(yīng)盡可能模擬生產(chǎn)環(huán)境，并與生產(chǎn)環(huán)境進(jìn)行安全隔離。

第十九條

真實(shí)數(shù)據(jù)不得直接在測試環(huán)境中使用，須進(jìn)行適當(dāng)修改或屏蔽。在測試完成之后，須立即從測試應(yīng)用系統(tǒng)清除運(yùn)行信息。

第二十條

測試人員編制安全測試方案，構(gòu)造安全測試用例。

第二十一條

測試人員不得由開發(fā)人員兼任。

第二十二條

信息安全等級保護(hù)定級為二級及以下的應(yīng)用軟件，由xx部門組織代碼漏洞檢測；信息安全等級保護(hù)定級為三級及以上的應(yīng)用軟件，xx部門應(yīng)聘請有相關(guān)資質(zhì)的專業(yè)機(jī)構(gòu)進(jìn)行代碼漏洞檢測，并提交分析報(bào)告。

第六章

文檔安全管理

第二十三條

xx部門應(yīng)對源代碼的變更和版本發(fā)布進(jìn)行統(tǒng)一控制，對程序資源庫的任何修改、更新和發(fā)布都需經(jīng)xx部門主管領(lǐng)導(dǎo)授權(quán)和批準(zhǔn)。

第二十四條

xx部門應(yīng)指定專人妥善保管程序源代碼及相關(guān)技術(shù)文檔（見附），對于源代碼與技術(shù)文檔實(shí)行授權(quán)訪問。

第二十五條

軟件程序不得篡改應(yīng)用軟件所運(yùn)行的環(huán)境或平臺中任何安全配置、安全文件和安全程序。

第七章

外包開發(fā)安全管理

第二十六條

xx部門應(yīng)與外包開發(fā)單位簽署相關(guān)知識產(chǎn)權(quán)保護(hù)協(xié)議和保密協(xié)議。

第二十七條

外包開發(fā)單位進(jìn)行系統(tǒng)開發(fā)過程中，須嚴(yán)格遵循本規(guī)定軟件開發(fā)各階段的相關(guān)安全要求。

第二十八條

xx部門在系統(tǒng)開發(fā)過程中，須指派專人監(jiān)督審核外包開發(fā)單位在各個(gè)階段安全要求的執(zhí)行情況。

第二十九條

外包開發(fā)單位在系統(tǒng)開發(fā)完成后向xx部門提供程序源代碼和相關(guān)技術(shù)文檔，不得將計(jì)算機(jī)系統(tǒng)采用的關(guān)鍵安全技術(shù)措施和核心安全功能設(shè)計(jì)對外公開。

第三十條

xx部門應(yīng)對開發(fā)完成后的應(yīng)用軟件進(jìn)行審查或檢測。

第八章

附則

第三十一條

xxx參照執(zhí)行本規(guī)定。

第三十二條

本規(guī)定由xxxx負(fù)責(zé)解釋和修訂。

第三十三條

本規(guī)定自發(fā)布之日起執(zhí)行。

附

系統(tǒng)開發(fā)相關(guān)技術(shù)文檔清單：

業(yè)務(wù)需求書（其中包含信息安全業(yè)務(wù)需求部分）

安全需求規(guī)格說明書（或需求規(guī)格說明書包括安全需求部分）

安全方案設(shè)計(jì)文檔（或總體方案設(shè)計(jì)文檔中包括安全方案設(shè)計(jì)部分）

程序源代碼

開發(fā)過程中產(chǎn)生的記錄

測試方案

測試過程記錄

測試報(bào)告

代碼分析報(bào)告

系統(tǒng)配置文檔

系統(tǒng)使用指南及操作手冊

附件無

文檔內(nèi)容僅供參考