信息化应用系统开发安全规范.pdfVIP

ISO/IEC27001-2022/ISO20000信息安全管理体系文件范例

文件名称：信息化应用系统开发安全规范生效日期：2024-02-25

文件编号：页数1/15生效版本：A0

文件制修订记录

NO制/修订日期修订编号制/修订内容版本页次

12024-02-25-新制订A0

核准审核制订

ISO/IEC27001-2022/ISO20000信息安全管理体系文件范例

文件名称：信息化应用系统开发安全规范生效日期：2024-02-25

文件编号：页数2/15生效版本：A0

一、概述

软件不安全的因素主要来源于两个方面，一是软件自身存在错误和缺陷引起的安全漏洞，

二是来自外部的攻击。良好的软件开发过程管理可以很好地减少软件自身缺陷，并有效抵

抗外部的攻击。

本规范主要规定了信息化应用系统在系统开发的各个阶段所应遵守的各种安全规范，将在

不同阶段中所需要注意的安全问题和相关的安全规范进行进一步的描述和规定，以提高信

息化应用系统的安全性和抵抗外部攻击的能力。

二、可行性计划

可行性计划是对项目所要解决的问题进行总体定义和描述，包括了解用户的要求及现实环

境，从技术、经济和需求3个方面研究并论证项目的可行性，编写可行性研究报告，探讨解

决问题的方案，并对可供使用的资源（如硬件、软件、人力等）成本，可取得的效益和开发

进度作出估计，制订完成开发任务的实施计划。

2.1阶段性成果

可行性研究报告。

2.2可行性研究报告重点

如下4个方面：

1、设计方案

可行性研究报告的需对预先设计的方案进行论证，设计研究方案，明确研究对象。

2、内容真实

可行性研究报告涉及的内容以及反映情况的数据，必须绝对真实可靠，不许有任何偏差及

失误。可行性研究报告中所运用资料、数据，都要经过反复核实，以确保内容的真实性。

3、预测准确

可行性研究是投资决策前的活动，对可能遇到的问题和结果的估计，具有预测性。因此，

必须进行深入地调查研究，充分地占有资料，运用切合实际的预测方法，科学地预测未来

前景。

4、论证严密

论证性是可行性研究报告的一个显著特点。要使其有论证性，必须做到运用系统的分析方

法，围绕影响项目的各种因素进行全面、系统的分析，既要作宏观的分析，又要作微观的

分析。

ISO/IEC27001-2022/ISO20000信息安全管理体系文件范例

文件名称：信息化应用系统开发安全规范生效日期：2024-02-25

文件编号：页数3/15生效版本：A0

三、需求分析

软件需求分析就是对开发什么样的软件的一个系统的分析与设想，它是一个对用户的需求

进行去粗取精、去伪存真、正确理解，然后把它用软件工程开发语言表达出来的过程。需

求分析阶段主要工作是完成需求对业务的表达，这体现在对需求规格说明书中，包括业务

流程，子系统划分，状态图，数据流图等，最终通过用户用例完成业务分析测试。

需求分析阶段最大的隐患即需求未能准确地描述表达对用户需求的真正正确理解，因此，

需求分析阶段的安全工作，应主要在对用户需求真正准确的理解上。

需求分析阶段需深入描述软件的功能和性能，确定软件设计的约束和软件同其他系统元素

的接口细节，定义软件的其他有效性需求，借助于当前系统的逻辑模型导出目标系统逻辑

模型，解决目标系统“做什么”的问题。

需求分析阶段需形成的文档包括《需求分析说明书》