ISO270012013軟件開發(fā)管理程序

1、XXXXXXXXX 有限責任公司軟件開發(fā)管理程序XXXX-B-31V1.0發(fā)布日期2015年02月01日發(fā)布部門信息安全小組實施日期2015年02月01日軟件開發(fā)管理程序變更履歷版本變更履歷變更人/變更日期審核人/審核日期批準人/批準日期1.0初次發(fā)布i軟件開發(fā)管理程序1目的為了對組織軟件建設的策劃、開發(fā)、實施、檢查等進行有效的控制，特制定本程序。2范圍本程適用于軟件開發(fā)建設的管理。3職責3.1綜合部負責批準各種軟件的建設項目和建設方案。3.2技術部負責在業(yè)務范圍內(nèi)提出軟件開發(fā)需求書，進行可行性研究、程序開發(fā)、測試驗收和項目質量的監(jiān)控等工作。根據(jù)客戶要求開展外包服務。協(xié)助各項目組進行權限設置4

2、相關文件信息安全管理手冊軟件變更管理程序第三方服務管理程序惡意軟件管理程序5程序5.1項目組成員訪問權限控制項目組啟動后直至項目維護期結束， 期間項目經(jīng)理根據(jù)項目成員不同的職責， 及項目所 處的開發(fā)階段，設置不同的訪問控制權限。由項目經(jīng)理負責制定系統(tǒng)訪問權限說明書 ， IT人員負責執(zhí)行。5.2項目資料的備份項目組中的重要資料需要定期進行備份。 項目經(jīng)理負責將資料上傳至服務器， 由IT人員 根據(jù)重要信息備份周期一覽表 制定備份文件，如項目本身有特殊要求需要縮短備份周期， ： 可以向IT人員申請。5.3系統(tǒng)控制5.3.1輸入數(shù)據(jù)的驗證開發(fā)產(chǎn)品中的應用系統(tǒng)的數(shù)據(jù)驗證，可參照以下方式選擇性地進行：a）

3、輸入校驗，諸如邊界校驗或者限制特定輸入數(shù)據(jù)范圍的域，以檢測下列錯誤：1. 范圍之外的值；2. 數(shù)據(jù)字段中的無效字符；3. 丟失或不完整的數(shù)據(jù)；4. 超過數(shù)據(jù)的上下容量限制；5. 未授權的或矛盾的控制數(shù)據(jù)；6. 業(yè)務流程、系統(tǒng)安全運行、法規(guī)政策等方面所要求的數(shù)據(jù)校驗；b）定期評審關鍵字段或數(shù)據(jù)文件的內(nèi)容，以證實其有效性和完整性；c）檢查硬拷貝輸入文檔是否有任何未授權的變更（輸入文檔的所有變更均應予以授 權）；d）對輸入數(shù)據(jù)驗證錯誤后的處理程序；e）測試輸入數(shù)據(jù)合理性的程序；f）定義在數(shù)據(jù)輸入過程中所涉及的全部人員的職責。g）創(chuàng)建在數(shù)據(jù)輸入過程中所涉及的活動的日志。532內(nèi)部數(shù)據(jù)控制應用系統(tǒng)的設計與實現(xiàn)應盡量減少處理故障時對數(shù)據(jù)完整性的損壞。需要考慮下列（但不僅限于）內(nèi)容：a）通過添加、修改和刪除功能實現(xiàn)數(shù)據(jù)變更；b）防止程序以錯誤次序運行；c）使用適當?shù)某绦蚧謴凸收?，以確保數(shù)據(jù)的正確處理；d）防范利用緩沖區(qū)超出/溢出進行的攻擊。應準備適當?shù)臋z查列表，將檢查活動文檔化， 并應保證檢查結果的安全。需要考慮下列（但不僅限于）檢查例子：a）驗證系統(tǒng)生成的輸入數(shù)據(jù)；b）檢查在中央計算機和遠程計算機之間所下載或上載的數(shù)據(jù)或軟件的完整性、真實性或者其他任何安全特性；c）記錄文件字節(jié)大?。籨）檢查以確保應用程序在正確時刻運行；e）檢查以