软件安全白皮书指标概要.docx

软件安全白皮书指标 前言 介于我司现阶段对于软件产品项目的质量及安全性要求，特此制作此文，以便日后工作对应开展及提升品牌价值，软件产品质量做出指导性描述。 目的 安全性是软件的质量的一个重要属性。狭义较多关注软件的失效安全性问题，即软件运行不引起系统事故的能力，强调的是一类安全关键软件的安全性失效可能造成重大安全，生产，及核心数据丢失等高风险事故，因此对于失效安全性的度量主要简历在可靠性理论基础的安全度，失效度，平均事故间隔，软件事故率等。对于失效安全性测试，常用测试方法目前有基于故障树的测试基于最小割集测试。对于保密安全性。ISO9126质量模型将其定义为与防止对程序和数据进行非法存储的预防能力有关的质量属性。软件安全性是软件在收到恶意攻击时仍提供所需功能的能力。以此为作为软件自身的一个质量管理重要系数，因此特别指定此指标 1.白皮书格式要求 1.标题标头：包含明确的产品及时间信息 2.前言：包含软件自身的需求关系和基础定义，方向目的等 3.术语定义：文章中出现的对应学术名词或专业名词的一个标准化解释 4.自安全：自身安全逻辑，一般包括组织安全，法规安全，人员安全等 5.数据安全：对于数据的安全体系要求，及配套的保密规则 6.应用安全：软件自身功能是否存在逻辑漏洞，是否存在其他数据被调用转出 7.系统环境（逻辑）安全：对于软件逻辑，开发系统配置的具体要求 8.环境（物理）安全：对于服务器或端口及使用人的一部分约束要求 9.灾难恢复与业务连续性（容错）：对于软件自身的一定管控要求 2.安全测试分类 安全功能测试 1.安全功能目的测试 2.安全漏洞测试 渗透测试 1.信息渗透测试 2.注入渗透测试 验证过程测试 3.安全指标的选择 基于产品本身的需求作为出发点，根据不同的环境及时间周期，制定不同的安全指标 4.基于组织或个人的安全指标 1.基于人 1.1尽职调查 在职软工，我司需要在国家法律法规允许的情况，通过一系列背景调查手段确保入职的员工符合公司的行为准则，保密规定，商业道德和信息安全政策，背景调查手段涉及刑事、职业履历和信息安全等发面，背景调查的程度取决于岗位的需求 1.2安全生产调查 在入职后，所有员工必须签署保密协议，确认收到并准守我司的安全策略和保密要求，尤其有关于核心数据的机密性要求，将在入职培训过正中被重点强调。此外应对于核心数据岗位定期进行额外信息安全培训，确保员工管理的数据必须按照安全策略进行执行，同时通过企业价值观，核心价值观，自身价值观来多维确认员工是否诚信，敬业的态度管理其每一个项目数据，保证其对于需求方，合作伙伴和竞争对手的尊重；建立内部反安全应对策略 2.基于合规 2.1基于安全体系 1）IOS/IEC 27002，推动信息安全体系（ISMS）建立与实施，采用以风险管理为核心的方法管理公司和用户信息，保障信息的保密性，完整性及可用性;安全审计团队依据该安全标准，审批软件技术方案与技术框架内部信息的安全管理同国际信息安全最佳实践接轨，完成对于软件整体附加值的提升 2）等级保护基础要求：根据国家下发的《关于信息安全等级保护工作的实施意见》、《信息安全等级保护管理办法》开展信息安全你等级保护工作，主要是指对国家、法人、和其他组织及公民的专有信息，公开信息和存储、传输、处理这些信息的信息系统分等级实行安全保护，对信息系统中使用的信息安全产品实施按等级管理，对于信息系统中发生的信息安全年时间分等级进行相应与处理 2.2基于政府法规 准守国家关于信息安全的相关法律、法规要求，设置专门的信息安全监控机构，专门监控人员，时时跟进，监控软件研发及实施中的信息安全问题，已确保产品符合国建有关知识产权相关法律和法规要求。 开发中，如有第三方介入需求，我司必须与其签署保密协议，并通过定期检查识别、记录，评审保密四二一中的数据安全的相关控制要求（例如访问空、防泄漏手段，数据外泄应急处理及软件整体完整性要求），防止不正当披露、篡改和破坏数据。 3.基于团队 在产品项目整体规划研发阶段应制定对应质量及安全性管理审计团队，其中应包含如下角色： A:安全管理委员会：由关键部位项目审批负责人组成 B信息安全关键人：由专业的信息安全人员担任，主要负责拥有应用安全，系统网络逻辑安全，安全开发专项能力 C：安全审计关键人：由专业法律人员担任，主要负责产品的系统化的检测，控制，处理，独立审查，已确定是否符合信息安全体系要求及标准，是否符合我国法律法规，，例如GB/T 《信息安全等级保护基本要求》《中国人民共和国广告法》等 D：物理安全关键人：有专业技术人员担任，主要负责我方机房安全符合国家标准： GB/T 2887-2000：《计算机场地通用规范》