中國石油天然氣公司開發安全管理通則(doc 38頁)

中國石油天然氣公司開發安全管理通則目錄：
1.1概述3
1.2目標3
1.3規範的使用範圍4
1.4規範引用的文件或標準5
1.5術語和定義6
1.6應用係統開發總體原則7
1.7係統需求收集和分析階段安全規範8
1.7.1可行性研究分析8
1.7.2開發人員安全管理機製10
1.7.3建立係統開發安全需求分析報告11
1.8係統設計階段的安全規範12
1.8.1單點訪問控製，無後門。12
1.8.2人員職責和權限的定義12
1.8.3確保敏感係統的安全性12
1.8.4確保訪問層的安全性12
1.8.5確保日誌管理機製健全12
1.8.6新係統的容量規劃13
1.9係統開發階段安全規範14
1.9.1係統開發語言安全規範14
1.9.2係統開發安全相關工具管理規範19
1.9.3控製軟件代碼程序庫21
1.9.4在軟件開發過程變更管理規範23
1.9.5開發版本管理規範24
1.9.6開發日誌審核管理規範25
1.9.7防禦後門代碼或隱藏通道相關規範?25
1.10係統測試階段安全規範27
1.10.1應用係統的安全性檢測規範27
1.10.2控製測試環境29
1.10.3為測試使用真實的數據29
1.10.4在軟件轉移至生產環境前進行測試29
1.10.5應用係統安全質量鑒定30
1.11係統培訓及文檔階段安全規範31
1.11.1新係統的培訓31
1.11.2撰寫新係統和係統改進的文檔31
1.12應用係統開發外包安全控製32
附錄 1參考文獻33

中國石油天然氣公司開發安全管理通則內容提要：
信息係統的許多的安全控製或者是安全性是通過係統的開發設計予以實現的。因此如果在係統的開發設計階段沒有對係統的安全性給予充分的考慮，那麼係統本身一定會存在許多先天不足，係統就會漏洞百出。為了確保應用係統的安全，在應用係統開發之前就應當對係統的安全要求有所確認，並作為開發設計的階段的基礎予以落實。
本規範主要規定了在係統開發的各個階段需要的各種安全規範，從可行性分析需求分析階段開始，到設計階段，再到開發階段和維護階段以及最後的文檔階段的係統開發的各個階段進行闡述。將不同階段下需要注意的安全問題和相關的安全規範進一步進行描述和規定。
……

應用係統的開發應當遵循一係列的總體原則，以確保開發過程中的安全。其中包括：
a)係統開發需得到公司領導層的重視和參與。需要領導層組織開發力量，協調各方關係並在開發的過程中提供決策性的意見和建議。
b)係統開發應當從業務需求得角度出發，不得盲目追求係統先進性而忽略了係統的實用性。係統的開發是為了更高的滿足業務上的需要，而不是技術上的需要。
c)開發的方法和管理必須規範化、合理化、製度化。隻有采用了規範化合理化製度化的開發管理方法，才能確保開發的質量和進度。
……

開發人員授權管理規範：
a)根據該員工在整個開發項目中所負責的開發內容授予其相應的權限和承擔的責任。
b)開發人員必須負責其開發內容的保密性，不得私自將開發的相關信息泄漏出去，即使是家人或開發團隊中的其他開發人員也不得泄漏。但開發人員有責任將開發的相關信息告訴項目的負責人員或開發小組的負責人員。
c)以書麵的方式將員工的權限和相應的責任提交給員工本人。必須嚴格規定在為企業工作期間的所有和工作相關的開發成果的所屬權都歸企業所有。
d)根據員工權限和責任的大小確認是否需要簽署相關的保密協議。
e)在日常工作中記錄員工的開發相關的日誌信息。
f)員工一旦離職或調動崗位應立即收回或調整其相應的權限。

..............................