ISMS-02-20-V1.0 信息系统开发与项目安全管理规定

信息系统开发与项目安全管理规定

第一章 总则

第一条 目的

为规范思度安全运营中心信息系统开发相关安全控制，保障信息系统本身的安全性以及开发、测试和投产过程的安全性，规范信息系统获取、开发与维护过程中的职责定义与流程管理，特制定本规定。

第二条 适用范围

本规定适用于思度安全运营中心范围内的信息系统获取、开发、实施、投产各过程及项目实施的管理。

第二章 组织与职责

第三条 风险管理组

思度安全运营中心风险管理组负责制定相关规定，并监督各部门落实情况。

第四条 各部门安全组

负责监督和检查本规定在本部门的落实情况。

第五条 需求部门

除提出功能需求外还负责在相关部门的协助下提出系统安全需求。

第六条 项目建设部门

承担具体信息系统设计、开发实施，负责进行系统安全需求分析。保证系统设计、开发、测试、验收和投产实施阶段满足项目安全需求和现有的系统安全标准和规范。组织系统安全需求、设计和投产评审。

第三章 信息系统开发与项目安全管理规定

第七条 项目安全评审

信息系统建设项目各阶段（尤其是需求设计、测试及投产等重要阶段）评审时，评审内容必须包括相应的安全要求，具体要求参见附件2：信息安全功能设计检查列表。

第八条 安全评审要求

系统安全评审时，应提交相应安全设计、实现或验证材料，对于评审中发现的问题相关责任部门应及时整改。

第九条 信息发布管理

对于公共可用系统及重要信息数据的完整性应进行保护，以防止未经授权的修改。同时，网上公开信息的修改发布遵循业务部门的相关管理规定，只有经过授权流程后才能修改相应信息。

第十条 安全需求分析

（一） 在项目的计划阶段，项目需求部门与项目建设部门讨论并明确系统安全需求分析，作为项目需求分析报告的组成部分。 （二） 项目需求部门与项目建设部门应对系统进行风险分析，考虑业务处理相关流程的安全技术控制需求、生产系统及其相关在线系统运行过程中的安全要求，在满足相关法律、法规及规章、技术规范和标准等约束条件下，确定系统的安全需求。 （三） 系统安全保护遵循适度保护的原则，需满足以下基本要求，同时实施与业务安全等级要求相应的安全机制： 1. 采取必要的技术手段，建立适当的安全管理控制机制，保证数据信息在处理、存储和传输过程中的完整性和安全性，防止数据信息被非法使用、篡改和复制。 2. 实施必要的数据备份和恢复控制。 3. 实施有效的用户和密码管理，能对不同级别的用户进行有限授权，防止非法用户的侵入和破坏。 4. 涉密信息系统的安全设计应符合涉密信息保密管理的有关规定。 （四） 系统的安全需求及其分析要经过项目组内部充分讨论，技术人员和业务人员对安全需求及其分析的理解要达成一致。

第十一条 项目建设管理

项目建设部门根据确定的安全需求设计系统安全技术方案，必须确保满足以下要求： （一） 系统安全技术方案要满足所有的安全需求，并且符合公安部、银监会等政府、上级主管部门的法律法规要求。 （二） 系统安全技术方案应至少包括网络安全设计、操作系统和数据库安全、应用软件安全设计等部分。 （三） 系统安全技术方案涉及使用的安全产品，应符合国家有关法律法规和思度安全运营中心现有安全制度的规定。

第十二条 开发人员的安全管理

（一） 信息系统的开发人员或参加开发项目的外协单位应经过严格资格审查，并签订保密协议。 （二） 加强开发人员的职业道德教育，提高开发人员的安全防范和保密意识，对开发人员进行安全防范技术和措施等方面的培训。 （三） 明确开发人员在信息系统开发过程中的职责和信息访问权限。 （四） 严格加强生产系统开发环境和场地的出入管理，进入开发环境和现场要有必要的安全控制措施，详细参见《物理和环境安全管理规定》。 （五） 禁止非项目组人员未经允许进入开发环境和现场，非项目组外协单位人员进入开发现场必须由本部门项目组人员陪同，对于第三方管理的详细规定参见《第三方信息安全管理规定》。

第十三条 开发设备使用的安全管理

（一） 做好对信息系统开发环境的安全管理，信息系统的开发环境要相对独立，开发环境必须与运行环境分离。 （二） 开发环境中的设备必须明确安全责任人，遵循"谁使用谁负责"的原则，公共用途的设备也应指定安全责任人进行保管和维护。 （三） 信息系统的开发环境和实施场地应当与生产环境和实施场地隔离。 （四） 严格管理开发环境中的各种移动设备、个人信息处理设备，禁止未经允许的设备接入开发环境，接入开发环境的桌面设备必须符合《员工信息安全手册》中桌面系统使用规范和防病毒系统管理规范的要求。

第十四条 开发文档的安全管理

（一） 信息系统开发过程中的资料、文档要按照技术档案管理的有关规定进行整理归档。 （二） 在文档的编写、整理过程中，要明确文档标准化格式规范。记录文档修改，评估修改对文档安全的影响，并确保文档的一致性。 （三） 文档中与安全相关的内容要准确、完整，并明确文档的密级以及分发范围。 （四） 开发过程中的各种文档，只能在授权分发范围内流转，任何人不得以各种形式进行非授权分发、外泄。

第十五条 开发中软件和源代码的安全管理

（一） 除因工作需要外，禁止任何人持有、复制思度安全所属软件源代码，禁止任何人外借或对外复制思度安全所属软件源代码。 （二） 信息系统开发所使用的操作系统、数据库、开发工具软件等必须是思度安全授权使用的软件，严禁使用非授权软件。 （三） 对编程语言和编程工具的使用进行培训，了解和掌握编程语言和编程工具已知的安全隐患，加强源代码检查，防止源代码中存在可疑程序和已知的安全隐患。 （四） 信息系统采用的关键技术措施和核心安全功能设计应严格控制发放范围，对于自行编制的加密算法应采用二次加密控制并由不同人员分别编程实现。对重要的秘密资源（如源程序、目标码等）应严格设置访问权限控制。 （五） 对应用系统的编译过程进行严格监督，确保经正确编译的软件版本最终生成运行代码，并保证运行代码的完整性、安全性。 （六） 严格控制软件版本的管理，确保信息系统开发过程源代码和执行代码的一致性和正确性。

第十六条 信息系统测试管理

在信息系统测试阶段，应根据信息系统安全功能检查列表进行测试，确保所有设计的安全功能得到落实和实现。在测试报告或相关文档中应明确说明检查列表中各项安全功能的落实和实现情况。

第十七条 测试数据脱敏管理

在信息系统开发测试过程中，对于来自生产系统的数据要根据相关规定进行变形处理，禁止在开发/测试环境中直接使用生产主机系统的密钥和用户密码等重要数据。测试环境要依据相关规定进行合适的管理和安全防护，并通过相应的手段确保与生产系统、开发系统隔离。

第十八条 安装部署安全要求

在信息系统安装部署时，应采取相应措施确保系统安全功能的实现，操作系统、数据库、应用系统等软件安装部署和配置应该符合相应的安全规范和标准。

第十九条 安全评估

信息系统投产前应进行安全评估或审查，通过审查系统设计文档中的安全功能设计、系统测试文档中的安全功能测试，确保系统本身安全功能的实现。通过审核系统安装与配置过程或文档，确保系统安全配置的落实与实现。

第二十条 外购软件安全管理

对于需要外购的套装软件，该软件的设计、实施方案的安全性也应遵循本规定中的要求，由相应的负责部门在安全需求、方案、投产阶段进行相应安全管控。

第二十一条 合作的外包项目安全要求

对于与其他公司合作开发和外包的项目，要明确双方信息安全责任和交付成果的信息安全要求，并对安全责任的落实和交付成果安全要求的实现情况进行监督检查。

第二十二条 交付时修复漏洞

对外包开发软件交付时，相应的负责部门应根据安全要求对交付软件进行安全测试和评估，并责成外包公司修改发现的安全漏洞和问题，确保交付软件的安全性符合要求。

第四章 附则

各部门可根据本规定制定相应的实施细则。 本规定由思度安全运营中心负责制定、解释和修改。 本规定自印发之日起实行。

附件二： 系统安全功能设计检查列表 系统安全功能设计检查列表 安全检查点 基线系统要求 重要系统要求 备注 应用程序访问控制

具有基于用户或角色的权限管理 必须 必须

管理员可以根据用户或角色赋予不同的权限 必须 必须

具有用户密码复杂性检查 推荐 必须

具有用户密码强制修改周期设置 推荐 必须

用户第一次登录强制修改密码 推荐 必须

用户输入时屏幕不显示密码 必须 必须

用户连接超时重新登录 推荐 必须

用户连接时间区间控制 推荐 必须

建立统一的用户命名规范 可选 推荐

系统、数据库账户使用

建立应用程序专用帐户，不能使用系统根帐户作为应用程序帐户，比如FTP帐户、跑批账户、启、停数据库等不能使用Root用户 必须 必须

不能使用Root帐户作为应用的安装帐户 必须 必须

应用程序不能使用sa、dba等数据库管理员账户连接数据库，应为不同的程序应用建立不同的数据库账户连接 必须 必须

应用程序帐户密码可修改，也就是账户密码不能固化在程序中 必须 必须

系统间不能使用rlogin等远程登陆服务 必须 必须

重要数据安全

用户密码信息和其它数据分开保存 推荐 必须

用户密码信息加密保存 推荐 必须

用户授权信息与其它数据分开、加密保存 可选 推荐

对重要数据采用数据完整性保护技术措施 可选 推荐

对重要数据进行加密存储 可选 推荐

重要数据备份及加密备份功能 可选 推荐

信息交换安全

外部系统连接必须要有身份验证检查 可选 推荐

外部系统连接身份验证信息加密传输 可选 推荐

用户密码加密传输 推荐 必须

其它重要数据加密传输 可选 推荐

关键活动日志

系统管理员登录成功 推荐 必须

系统管理员登录失败 推荐 必须

用户登录成功 推荐 必须

用户登录失败 推荐 必须

用户尝试访问非授权资源 可选 推荐

系统错误 推荐 必须

用户操作日志 可选 按需

数据修改、更新日志 可选 按需

输入输出验证

用户数据输入范围验证 必须 必须

用户数据输入非法字符验证 必须 必须

外部程序传入数据验证 可选 推荐

程序输出数据校验 可选 推荐

法律法规特定要求

涉密系统的特定要求 按需 按需

说明： 必须 必须启用该功能 推荐 推荐启用该功能，没有特殊情况都应该启用该功能。 可选 可以启用该功能，如果启用可以增强系统安全性，如果不启用也不会给系统带来严重风险。 按需 根据具体系统、项目的需求而定，主要指法律法规方面的要求。 重要系统要求 对于业务系统等重要系统的更高层次的要求。 基线系统要求 对于所有应用系统都必须达到的要求。