017-软件开发安全控制程序-ISO27001最新版.doc

XXX有限公司 软件开发安全控制程序制订： XXX 日期：202X年11月18日审核： XXX 日期：202X年11月18日批准： XXX 日期：202X年11月18日文件名称软件开发安全控制程序文件编号HH-ISMS-02-17实施日期202X-11-18版本/版次A/0管控状态受控页次6/6修改记录日 期版本修改条款及内容摘要202X-11-18A/0首版发行 1.适用本程序适用于本公司应用系统软件的开发（包括外包软件开发）及系统的维护的控制不包括日常生产、管理、设计时所需的测试程序2 目的 为对公司系统开发与系统维护过程实施有效控制，确保系统开发与维护的各项安全要求得到识别并执行，保证系统安全，特制定本程序3 职责3.1 各职能部门负责应用软件的开发任务的提出3.2 数据中心负责全公司范围内应用软件的开发、测试和综合信息系统的维护管理3.3 数据中心负责对公司范围内的信息网络系统的容量进行规划4 程序4.1 应用软件设计开发的控制4.1.1 设计开发任务提出各职能部门根据日常经营管理工作的需要，经过本部门部长批准后，交付开发部进行设计开发。

4.1.2 设计开发的策划数据中心在接到任务通知后，首先要判断可行性，明确规定设计开发的各个阶段的评审与测试要求及设计开发人员的职责与权限，设计开发计划方案由要求部门和开发部负责人共同批准后予以实施；必要时，如果对计划进行更改也需要获得双方部长共同批准软件设计开发计划应包括以下内容：a) 软件功能要求；b) 详尽的业务流程；c) 信息安全要求；d) 时间进度要求；e) 设计开发的各个阶段评审与测试要求；f) 设计开发人员的职责与权限；g) 其它要求4.1.3 设计开发人员的要求软件设计开发人员须经开发部负责人授权，并应具备一定的软件开发能力和良好的职业道德4.1.4 设计开发方案的技术评审4.1.4.1 设计开发负责人应根据软件设计开发计划的要求，编制软件设计开发方案，由开发部负责人对方案的技术可行性及系统的安全性进行确认4.1.4.2 对于大型软件开发方案应由设计开发人员、应用部门人员、内部IT方面的专家共同进行评审4.1.4.3软件设计开发方案应包括以下内容：a) 确定软件开发工具；b) 应用系统功能；c) 业务实现流程；d) 输入数据确认要求；e) 必要时，系统内部数据确认检查的要求；f) 输出数据的确认要求；g) 应用系统的安全要求；h) 对系统硬件配置的要求；i) 系统验收标准。

方案确认与审批的结果及任何必要的措施应予以记录4.1.5 设计开发的环境要求在进行软件开发时，应采取适宜的方法将开发与运作设施分离：a) 开发和运行应当在不同的环境；b) 测试系统应该独立于运行系统4.1.6 软件的测试与试运行4.1.6.1 源程序编制好以后，应在规定的测试环境条件并依据软件测试要求由软件设计开发负责人组织有关人员测试活动，填写《应用软件测试报告》4.1.6.2 当软件含有数据处理功能时，软件测试活动应包括以下方面的内容：a) 应用测试数据，验证内部数据处理的正确性；b) 应用测试数据，确认输出数据的正确性并与环境相适应4.1.6.3 当系统测试数据使用业务数据，并且包含敏感信息时，应按以下要求对测试数据进行保护：a) 用于运作系统的访问控制过程也应用于测试系统；b) 业务数据每一次复制到测试应用系统，应被系统主管部门授权；c) 测试完成之后，应立即从测试系统中消除4.1.6.4应用部门在试运行期间，应将使用中存在的问题及时反馈给开发部进行修改试运行结束后，对试运行情况进行总结，并由数据中心和应用部门负责人签字认可，投入使用4.1.7 更改控制在设计开发过程中，涉及到系统功能、安全技术要求的更改应经过开发部负责人批准后予以实施，并经过测试合格后方可投入使用。

4.1.8 源程序库（程序源代码）管理及技术文档管理4.1.8.1 为降低计算机程序被破坏的可能性，设计开发软件的源程序库应按以下要求实施管理：a) 源程序库不应保存在运作系统中；b) 各项应用应指定源程序库管理员；c) 信息技术维护人员不应自由访问源程序库4.1.8.2 数据中心明确源代码管理责任人及保存方式4.1.8.3 源程序的管理应包括历史版本的管理4.1.9 软件开发外包控制4.1.9.1 开发软件外包应该遵守《信息处理设施控制程序》委托部门应明确软件开发的安全技术要求，由开发部审核，报分管公司负责人批准后，计划部与软件开发方签订软件开发合同，必要时，应签订保密协议，在协议中明确规定安全保密要求4.1.9.2 软件安装使用前，应由软件开发方及我方技术人员共同进行测试，测试结束应填写《应用软件测试报告》，测试符合技术协议要求且经委托部门认可后，方可投入试运行；试运行结束后且使用中发现的问题已经得到圆满解决后，双方进行正式的验收4.1.9.3 软件外包方在我公司进行软件开发活动，应事先得到委托部门负责人的授权，有我方人员在场的情况下方可进行4.1.10新的应用系统（或软件）在正式投入前，系统应用主管部门应对系统的访问权限规定并按照《用户访问控制程序》要求进行用户访问授权。

4.1.11新的应用系统（或软件）投入使用后，相关部门应进行风险识别和评估，根据评估结果确定资产重要度，必要时制订相应的控制措施4.2系统的维护管理4.2.1 为确保系统的安全，各系统主管部门应对以下方面实施控制：a) 系统容量策划；b) 系统更改；c) 操作系统更改；d) 软件包变更4.2.2 容量策划数据中心应对信息网络系统的容量（CPU利用率、内存和硬盘空间大小、传输线路带宽）需求进行监控，并对将来容量需求进行策划，适当时机进行容量扩充4.2.3 软件的安装和升级引用《变更控制程序》4.2.4 防范隐藏通道及特洛伊码对软件的采购、使用及变更有关部门应加以控制和检查以防止可能的隐藏通道和特洛伊码，具体执行《软件控制程序》4.3 当系统发生事故与故障时，系统维护主管部门应立即进行处理，确保系统安全，具体执行《技术薄弱点控制程序》5. 记录应用软件测试报告。