《政务应用系统开发安全规范》.docxVIP

Q/LB.□XXXXX-XXXX

PAGE2

ICS

FORMTEXT35.080

CCS

FORMTEXTL77

FORMTEXT2201

FORMTEXT长春市地方标准

DBFORMTEXTXX/TFORMTEXTXXXX—FORMTEXTXXXX

FORMTEXT

FORMTEXT政务应用系统开发安全规范

FORMTEXTSecurityspecificationforgovernmentapplicationsystemdevelopment

FORMDROPDOWN

FORMTEXT

FORMDROPDOWN

FORMTEXTXXXX-FORMTEXTXX-FORMTEXTXX发布

FORMTEXTXXXX-FORMTEXTXX-FORMTEXTXX实施

FORMTEXT长春市市场监督管理局??发布

STYLEREF标准文件_文件编号DBXX/TXXXX—XXXX

STYLEREF标准文件_文件编号DBXX/TXXXX—XXXX

PAGE10

目次

TOC\o1-1\h\t标准文件_一级条标题,2,标准文件_附录一级条标题,2,前言 II

1范围 1

2规范性引用文件 1

3术语和定义 1

4缩略语 2

5需求阶段安全规范 2

6设计阶段安全规范 3

6.1环境安全要求 3

6.2身份识别和认证 3

6.3访问控制和授权 4

6.4输入数据验证 5

6.5数据处理控制 6

6.6敏感数据的保护 6

6.7配置管理 7

6.8异常处理 7

7开发阶段安全规范 7

7.1应用开发环境的安全要求 7

7.2应用开发文档的安全要求 7

7.3应用开发的代码安全要求 7

8测试阶段安全规范 8

9部署和维护阶段安全规范 9

9.1安全运维要求 9

9.2应用系统上线投产的安全要求 9

9.3应用系统代码安全审计要求 9

9.4应用系统web安全测试评价要求 9

参考文献 10

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由长春市政务服务和数字化建设管理局提出并归口。

本文件起草单位：杭州安恒信息技术股份有限公司、长春市标准研究院（长春市WTO/TBT咨询中心）。

本文件起草人：刘竞雄、柳羽辉、邓贺、戚志军、李聪、冷皓、李凌岳。

政务应用系统开发安全规范

范围

本文件规范了长春市所属政务系统应用开发安全能力及其他相关要求。

本文件适用于指导长春市所属政务系统应用开发过程中的安全规范需求、设计、开发、测试、部署和维护等相关工作。

规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本文件。

GB/T25069-2022信息安全技术术语

GB/T22239-2019信息安全技术网络安全等级保护基本要求

GB/T35273-2020信息安全技术个人信息安全规范

术语和定义

GB/T25069-2022、GB/T43632-2024、GB/T43435-2023和GB/T43698-2024界定的以及下列术语和定义适用于本文件。

软件开发（这个及下面的所有术语都要把英文翻译加上）

是根据用户要求建造出软件系统或者系统中的软件部分的过程。软件开发是一项包括需求捕捉、需求分析、设计、实现和测试的系统工程。

需求分析

是开发人员经过深入细致的调研和分析，准确理解用户和项目的功能、性能、可靠性等具体要求，将用户非形式的需求表述转化为完整的需求定义，从而确定系统必须做什么的过程。

敏感信息

指不当使用或未经授权被人接触或修改会不利于国家利益计划的实行或不利于个人依法享有的个人隐私权的所有信息。

需求分析阶段

指收集和理解用户需求，确保最终软件产品能够完全满足用户需求的过程。

设计阶段

指在设计阶段完成需求分析后，开发团队根据收集到的需求，设计出软件架构、数据结构、用户界面、算法和模块等各个组件，创建稳定、可预测的系统结构的过程。

编码阶段

指在编码阶段设计阶段结束后，开发团队根据设计文档，遵循一定