論軟件生命周期的信息安全管理

導(dǎo)語：論軟件生命周期的信息安全管理一文來源于網(wǎng)友上傳，不代表本站觀點(diǎn)，若需要原創(chuàng)文章可咨詢客服老師，歡迎參考。

1軟件生命周期中信息安全管理控制

在各主流IT或信息安全評(píng)價(jià)體系中，都或多或少對(duì)軟件生命周期中的信息安全控制進(jìn)行了要求和規(guī)定，本文綜合了流行的ISO27000，Cobit5,PCI-DSS等評(píng)價(jià)體系，結(jié)合國家信息安全標(biāo)準(zhǔn)，及審計(jì)咨詢公司常用的SOX,SAS70等第三方評(píng)價(jià)標(biāo)準(zhǔn)，就如何設(shè)計(jì)與實(shí)施軟件生命周期中信息安全的相關(guān)控制點(diǎn)歸納總結(jié)如下

1.1軟件生命周期中信息安全的整體要求

(1)制定并正式的軟件生命周期控制文件：明確說明開發(fā)過程的控制方法和人員的行為準(zhǔn)則，并應(yīng)充分考慮對(duì)信息安全方面的要求，確保開發(fā)出來的系統(tǒng)可以滿足公司整體信息安全的需要、相關(guān)法律法規(guī)的信息安全要求，以及特殊部門或流程的信息安全需要。(2)軟件生命周期中對(duì)信息安全的總體要求：雖然由于系統(tǒng)所對(duì)應(yīng)企業(yè)、部門、業(yè)務(wù)或流程的差異，每個(gè)系統(tǒng)的安全要求有所不同，例如通常來講，金融行業(yè)對(duì)安全的要求較高，金融行業(yè)里，涉及客戶信息、財(cái)務(wù)信息的系統(tǒng)安全要求較高等等。每個(gè)企業(yè)、部門必須根據(jù)自己的流程評(píng)估風(fēng)險(xiǎn)，確定對(duì)數(shù)據(jù)完整性、安全性、可用性的要求，從而進(jìn)一步確定信息安全要求。

1.2對(duì)環(huán)境的要求

(1)確保開發(fā)環(huán)境與實(shí)際運(yùn)行環(huán)境物理相分離，開發(fā)環(huán)境應(yīng)該由一系列足以支持開發(fā)工作且盡量與生產(chǎn)環(huán)境接近的設(shè)備搭建而成，所有的開發(fā)和測(cè)試工作均應(yīng)該在此開發(fā)環(huán)境中進(jìn)行。在實(shí)際工作中，也可以實(shí)行開發(fā)環(huán)境、測(cè)試環(huán)境及生產(chǎn)環(huán)境的分離控制，或開發(fā)環(huán)境、測(cè)試環(huán)境、用戶驗(yàn)收測(cè)試環(huán)境及生產(chǎn)環(huán)境的分離控制。在上述環(huán)境中，開發(fā)環(huán)境可以相對(duì)較弱，以可以支持代碼開發(fā)、進(jìn)行模塊測(cè)試及基本的集成測(cè)試為標(biāo)準(zhǔn)；測(cè)試環(huán)境，特別是用戶驗(yàn)收測(cè)試的測(cè)試環(huán)境，則要求較高，應(yīng)與實(shí)際環(huán)境保持一致或盡可能接近。(2)對(duì)開發(fā)環(huán)境（及測(cè)試環(huán)境）實(shí)施安全控制：例如未經(jīng)授權(quán)的人員不得訪問開發(fā)環(huán)境（測(cè)試環(huán)境），對(duì)開發(fā)（測(cè)試）中的軟件實(shí)施嚴(yán)格的版本控制，開發(fā)（測(cè)試）環(huán)境的機(jī)器必須安裝殺毒軟件并及時(shí)更新病毒庫，并及時(shí)對(duì)操作系統(tǒng)及相關(guān)應(yīng)用軟件進(jìn)行補(bǔ)丁修正和升級(jí)。

1.3對(duì)人員的要求

(1)軟件生命周期中的工作人員必須具有足夠的專業(yè)勝任能力及職業(yè)道德素養(yǎng)，足以從事相關(guān)工作。(2)對(duì)開發(fā)人員和測(cè)試人員實(shí)施職責(zé)分離，開發(fā)人員未經(jīng)授權(quán)不得訪問或修改生產(chǎn)環(huán)境的程序或數(shù)據(jù)。1.4業(yè)務(wù)需求階段在業(yè)務(wù)需求制定階段，應(yīng)注重對(duì)信息安全方面的需求制定。在業(yè)務(wù)需求書中，應(yīng)明確對(duì)系統(tǒng)安全的詳細(xì)要求，并在系統(tǒng)設(shè)計(jì)階段開始之前，由各利益相關(guān)方（含信息安全的負(fù)責(zé)人）書面確認(rèn)。業(yè)務(wù)需求階段完成后，任何對(duì)系統(tǒng)安全需求的修改，也應(yīng)視為對(duì)業(yè)務(wù)需求書的修改，需經(jīng)過正式的系統(tǒng)變更流程。

1.5系統(tǒng)設(shè)計(jì)階段

(1)對(duì)系統(tǒng)進(jìn)行整體設(shè)計(jì)和詳細(xì)設(shè)計(jì)，通過分析系統(tǒng)的數(shù)據(jù)流，包括數(shù)據(jù)錄入、系統(tǒng)內(nèi)部模塊間的數(shù)據(jù)傳輸、信息存儲(chǔ)、數(shù)據(jù)庫訪問及管理、系統(tǒng)間數(shù)據(jù)傳輸，、數(shù)據(jù)輸出等，確保實(shí)現(xiàn)所有過程中對(duì)數(shù)據(jù)的全面保護(hù)，特別是對(duì)特定業(yè)務(wù)的特定數(shù)據(jù)進(jìn)行保護(hù)，例如密碼，客戶信息，財(cái)務(wù)數(shù)據(jù)等，對(duì)重要數(shù)據(jù)的存儲(chǔ)和傳輸設(shè)置權(quán)限和校驗(yàn)，并進(jìn)行加密。(2)在軟件的應(yīng)用層面應(yīng)至少包含如下的控制設(shè)計(jì)：i)輸入檢查：對(duì)系統(tǒng)的輸入數(shù)據(jù)進(jìn)行驗(yàn)證，比如設(shè)置強(qiáng)制輸入完成才可進(jìn)一步處理的字段；對(duì)輸入數(shù)據(jù)的類型或范圍進(jìn)行檢查，例如日期；對(duì)輸入數(shù)據(jù)的長(zhǎng)度進(jìn)行檢查，例如手機(jī)號(hào)碼位數(shù)；對(duì)數(shù)據(jù)進(jìn)行正確性校驗(yàn)，例如利用身份證校驗(yàn)碼策略檢查身份證號(hào)碼，對(duì)比身份證號(hào)碼與出生日期。ii)數(shù)據(jù)處理過程中的檢查：對(duì)系統(tǒng)處理過程中的數(shù)據(jù)進(jìn)行檢查，比如在自動(dòng)化轉(zhuǎn)換或傳輸過程中，比對(duì)數(shù)據(jù)記錄的總條數(shù)和數(shù)據(jù)總和；設(shè)置流程，提醒將系統(tǒng)數(shù)據(jù)與紙質(zhì)數(shù)據(jù)進(jìn)行比對(duì)驗(yàn)證。iii）輸出檢查：對(duì)輸出結(jié)果的合理性進(jìn)行系統(tǒng)檢測(cè)，以及設(shè)置流程提示將系統(tǒng)輸出數(shù)據(jù)與手工證據(jù)進(jìn)行核對(duì)等。

1.6系統(tǒng)實(shí)施階段

制定代碼編寫安全規(guī)范，要求開發(fā)人員參照規(guī)范編寫代碼；嚴(yán)格禁止不安全的實(shí)施方法，例如將用戶名或密碼編寫在程序中，使用未經(jīng)審核過的代碼包，使用未授權(quán)的網(wǎng)絡(luò)工具等。對(duì)源代碼的訪問和修改必須嚴(yán)格控制，例如通過配置管理工具進(jìn)行代碼訪問及代碼版本控制。

1.7系統(tǒng)測(cè)試階段

(1)系統(tǒng)測(cè)試整體要求：對(duì)系統(tǒng)測(cè)試驗(yàn)收的控制方法和人員行為準(zhǔn)則應(yīng)進(jìn)行書面規(guī)定，確保系統(tǒng)在開發(fā)期間直至驗(yàn)收需對(duì)軟件、硬件、服務(wù)等元素進(jìn)行一系列的測(cè)試，確保系統(tǒng)及數(shù)據(jù)的完整性和可用性。對(duì)源于生產(chǎn)環(huán)境的測(cè)試數(shù)據(jù)去敏感化，如客戶身份證信息等，在傳輸過程中進(jìn)行加密，并確保在測(cè)試后被完全清除。(2)測(cè)試通常應(yīng)覆蓋業(yè)務(wù)需求書中的所有要求，包括系統(tǒng)功能、軟硬件性能、平臺(tái)兼容性、系統(tǒng)容量、系統(tǒng)恢復(fù)等，也應(yīng)特別保護(hù)對(duì)信息安全的測(cè)試，如防攻擊測(cè)試、穿透性測(cè)試等。(3)用戶接受測(cè)試：接收測(cè)試的測(cè)試人員應(yīng)由非開發(fā)人員擔(dān)當(dāng)，且必須包含業(yè)務(wù)人員。測(cè)試范圍應(yīng)涉及系統(tǒng)所有的功能，包括數(shù)據(jù)庫及操作系統(tǒng)。接收測(cè)試也應(yīng)特別注意對(duì)系統(tǒng)安全方面的測(cè)試，例如審查關(guān)鍵代碼，查找后門程序及穿透性測(cè)試等。(4)測(cè)試結(jié)果：測(cè)試結(jié)果需書面記載，與用戶期望結(jié)果進(jìn)行比對(duì)和確認(rèn)。此記錄及確認(rèn)中需包含對(duì)信息安全方面的測(cè)試結(jié)果，確認(rèn)測(cè)試結(jié)果符合系統(tǒng)設(shè)計(jì)及公司整體的信息安全需要，或已經(jīng)授權(quán)采取了充分、恰當(dāng)?shù)难a(bǔ)償性措施。

1.8系統(tǒng)上線

(1)系統(tǒng)上線前需進(jìn)行如下確認(rèn)，信息安全評(píng)估已充分進(jìn)行，安全方面的缺陷已被充分確認(rèn)及記錄，系統(tǒng)的性能和容量可以滿足要求，所有與系統(tǒng)相關(guān)的補(bǔ)丁或更新已經(jīng)實(shí)施，所有開發(fā)中遇到的問題已得到妥善解決，建立了充分恢復(fù)措施，測(cè)試數(shù)據(jù)已被擦除，服務(wù)水平協(xié)議已經(jīng)建立，以及各利益相關(guān)者已經(jīng)對(duì)系統(tǒng)上線做了批準(zhǔn)等。(2)系統(tǒng)上線時(shí)需進(jìn)行的操作：對(duì)初始數(shù)據(jù)遷移或輸入的確認(rèn)，對(duì)技術(shù)人員及用戶進(jìn)行培訓(xùn)，設(shè)置恰當(dāng)?shù)纳暇€窗口期并對(duì)可能產(chǎn)生的業(yè)務(wù)中斷進(jìn)行準(zhǔn)備，明確新舊系統(tǒng)交接程序，制定詳細(xì)的系統(tǒng)交付清單，提供軟件的使用指南，確保上線后對(duì)系統(tǒng)提供持續(xù)性支持（例如IT服務(wù)臺(tái)）。另外，對(duì)舊系統(tǒng)信息，包括系統(tǒng)配置、操作手冊(cè)、支持軟件、系統(tǒng)數(shù)據(jù)等進(jìn)行歸檔。(3)上線后審核：系統(tǒng)運(yùn)行一段時(shí)間后對(duì)系統(tǒng)進(jìn)行評(píng)估，評(píng)價(jià)系統(tǒng)對(duì)業(yè)務(wù)的滿足情況，其中包含信息安全的符合情況、信息安全控制措施的運(yùn)行效果和效率，發(fā)生的信息安全事故以及潛在的需要改進(jìn)的信息安全措施。

1.9質(zhì)量控制

在整個(gè)軟件生命周期中實(shí)施質(zhì)量控制以確保信息安全策略的有效實(shí)施，包括評(píng)價(jià)系統(tǒng)風(fēng)險(xiǎn)（例如與業(yè)務(wù)需求、技術(shù)、效果、成本、時(shí)間相關(guān)的風(fēng)險(xiǎn)），評(píng)估及定義系統(tǒng)的安全需求，且在整個(gè)軟件生命周期的節(jié)點(diǎn)上進(jìn)行檢查，以確保安全需求在開發(fā)的系統(tǒng)中進(jìn)行了充分實(shí)施。

2結(jié)論

本文通過九個(gè)方面，就如何在軟件開發(fā)生命周期中進(jìn)行信息安全管理，提出了較為全面和系統(tǒng)的設(shè)計(jì)與實(shí)施辦法，可以滿足當(dāng)前流行的絕大多數(shù)信息安全評(píng)價(jià)體系的要求，對(duì)企事業(yè)單位的信息安全和軟件質(zhì)量管理有一定的參考意義。

本文作者：周蓓工作單位：廣東工貿(mào)職業(yè)技術(shù)學(xué)