信息系统获取开发及维护程序.pdfVIP

信息系统获取、开发与维护程序 1. 目的 为确保平安成为所开发的信息系统一个有机组成局部，保证开发 过 程平安，特制定本程序。 2. 范围 适用于本公司所有信息系统的开发活动中，信息系统内在平安性的管 理。本 程序作为软件开发工程管理规定的补充，而不是作为软件开 发工程管理 的整体标准。 开发过程中所形成的需求分析文档、设计文档、软件代码、测试文档 等技术 信息的管理应遵从信息资产密级管理的有关规定，本程序不 在另行规定 3. 术语及定义 无 4. 引用文件 4. 1 以下文件中的条款通过本规定的引用而成为本规定的条款。但凡注日 期的 引用文件，其随后所有的修改单〔不包括勘误的内容〕或修订 版均不适 用于本标准，然而，鼓励各部门研究是否可使用这些文件的 最新版本。 但凡不注日期的引用文件，其最新版本适用于本标准。 4.2 ISO/IEC 27001:2005 信息技术-平安技术-信息平安管理体系要求 4.3 IS0/IEC 17799:2005 信息技术-平安技术-信息平安管理实施细那么 信息资产密级管理规定 5. 职责和权限 开发部是信息系统开发过程中的平安管理部门，负责保证开发过程安 全。 6. 工作程序 6. 1 控制措施-对信息系统进行平安性需求分析与相关规格说明 目标：在描述新系统或改良原有系统的业务需求时，应收集、 分析系统在平安性方面的需求，并在系统需求规格说明书详细 描 述。 如有你有帮助，请购置下载，谢谢！ 平安性需求包括两方面的内容，一是对系统本身的平安需求， 如系统具备数据通信加密、用户身份鉴别等功能，在确定平安 要求 时，要考虑系统中的自动平安控制和支持人工平安控制的 要求；二 是对系统设计开发过程本身也要进行控制，例如在 不同的设计开发 阶段的评审与验证，确保对程序源代码的保 护、对设计人员的控制 等。 6. 1. 3 平安要求在软件开发生命周期中的分布如以下图所示： 6. 1. 4 在使用新的应用程序或增强现有的应用程序时必须做平安性影响分 析，由信息系统工程经理提交平安需求分析。内容可包括以下 项： 1〕确认需要保护的资产。 2 〕评估这些资产需要采取什么平安控制措施。 3 〕考虑是否在系统中参加自动平安控制措施还是建立人工平安控 制 措施。 4 〕在软硬件采购时，应尽量使用经过专业评估和认证的产品。 6. 2 在应用中建立平安措施 6. 2. 1 控制措施-输入数据验证 6. 2. 1. 1 控制描述-输入应用系统的数据应加以验证，以确保数据是 正确 的。 6. 2. 1. 2 实施指南-应该校验应用于业务交易、常备数据和参数表的 输入 信息。需要考虑以下〔但不仅限于〕内容： 1〕输入校验，诸如边界校验或者限制特定输入数据范围的域，以 检测以下错误： a〕范围之外的值； b〕数据字段中的无效字符； c〕丧失或不完整的数据； d〕超过数据的上下容量限制； e〕未授权的或矛盾的控制数据； f〕业务流程、系统平安运行、法规政策等方面所要求的数据 校 验； 如有你有帮助，请购置下载，谢谢！ 2 〕定期评审关键字段或数据文件的内容，以证实其有效性和完整 性； 3 〕检查硬拷贝输入文档是否有任何未授权的变更〔输入文档的所 有变更均应予以授权〕； 4 〕对输入数据验证错误后的处理程序； 5 〕测试输入数据合理性的程序； 6 〕定义在数据输入过程中所涉及的全部人员的职责。 7 〕创立在数据输入过程中所涉及的活动的日志。 8 〕其它信息-适当时