20系统开发策略.docVIP

系统开发策略 AXBJLYF40 发布部门 项目部 生效时间 2017年7月1日 批准人 李庆旭 介绍 计算机安全事故的数量及其导致的商业中断和服务恢复所需的费用日益增加。实施稳固的安全策略、防止对网络和计算机不必要的访问、提高用户的安全意识并对安全事故及早检测是降低风险以及安全事故费用的有效方式。 目的 该策略的目的是描述信息资源中新软件的开发和/或实施的要求。 适用范围 该策略适用于使用信息资源的所有人。 内容 信息安全委员会参与系统开发项目整个生命周期的开发、维持； 所有内部开发用于生产系统的软件都必须按照系统开发生命周期的要求进行开发。这一计划最少应涉及：可行性研究初步分析、风险识别和减轻、系统分析、总设计、具体设计、开发、质量保证和接受测试、实施以及后期实施维护和评审。该方法确保软件在用于关键信息之前被充分文件化和测试； 所有生产系统必须为处理的关键信息指定所有者和管理者。信息安全委员会必须定期对生产系统进行风险评估，以确定应用的控制是否适当； 所有生产系统必须有访问控制系统以限制访问系统的用户并限制访问用户的权限。必须为所有生产系统指派一名访问控制管理员（不能是常规用户）； 在资源条件允许的情况下，应该将生产、开发和测试环境分离。这样会确保生产系统保持严格的安全，并同时能使开发和测试环境在较少安全限制的情况下效率最大化。在建立明显界限的地