软件项目安全保障体系VIP免费

一、软件项目安全保障体系1.1安全建设原则系统安全保障体系涉及到整个工程的各个层次，网络和信息安全的建设应该遵循以下原则：1）整体安全信息化是一个复杂的工程，必须从一个完整的安全体系结构出发，综合考虑信息网络的各种实体和各个环节，综合使用各层次的各种安全手段，为信息网络和业务应用系统提供全方位的安全服务。2）有效管理系统所提供的各种安全服务，涉及到各个层次、多个实体和各种安全技术，只有有效的安全管理（如密钥定期更新、防火墙监控、审计日志的分析等），才能保证这些安全控制机制真正有效地发挥作用。3）合理折衷在系统建设中，安全与投资、系统性能、易用性、管理的复杂性都是矛盾的，安全保障体系的建设应该在以上四个方面找到一个合理的折衷点，在可接受的风险范围内，以最小的投资换取最大的安全性，同时不因使用和管理的复杂而影响整个系统的快速反应和高效运行的总体目标。4）适应一致安全管理模式应该尽量与行业核心需求相一致，既要保证行业上下级之间的统一领导、统一管理，同时又给基层单位以足够的灵活性，以保障业务系统的高效运行。5）综合治理各种安全技术应该与运行管理机制、人员的思想教育与技术培训、安全法律法规建设相结合，从社会系统工程的角度综合考虑。1.2安全管理体系包括安全管理机构、安全管理人员、安全管理制度、安全管理策略的设计。主要安全制度：人员安全管理制度、操作安全管理制度、场地与设施安全管理制度、设备安全使用管理制度、操作系统和数据库安全管理制度、运行日志安全管理、备份安全管理、异常情况管理、系统安全恢复管理、安全软件版本管理制度、技术文档安全管理制度、应急管理制度、审计管理制度、运行维护安全规定、第三方服务商的安全管理、对系统安全状况的定期评估策略、技术文档报废管理制度。1.3安全管理规范安全规范主要涵盖为系统平台建设提供各种安全保障的技术和管理方面的标准规范，其中包括为建设项目的网络系统、应用系统、关键数据、备份系统等提供安全保障的各种技术标准和规范，以及对建设项目的网络系统、应用系统、关键数据、容灾备份和重大突发事件等进行有效管理，以达到安全目的的各种管理标准和规范。1.4数据安全保障措施1.4.1数据库安全保障数据库系统存储着全部资料数据，是安全保障系统的核心。其安全性是各应用系统稳定运行的关键。我们在数据传输过程采取加密等安全措施，保证数据传输过程的安全性、稳定性和保密性。数据库的安全威胁集中体现在：系统认证：口令强度不够，过期帐号，登录攻击等；系统授权：权限设置不当，登录时间超时等；系统完整性：系统文件受到恶意修改，本身存在安全漏洞等。同时考虑到计算机安全性的三个方面，即完整性、保密性和可用性，与数据库管理系统都有关系。因此数据库安全可以从以下几个方面考虑：（1）物理上的数据库完整性预防数据库数据物理方面的问题；如掉电以及当被灾祸破坏后能重构数据库。（2）逻辑上的数据库完整性保持数据的结构。比如：一个字段的值的修改不至于影响其他字段。（3）元素的完整性包含在每个元素中的数据是准确的。（4）可审计性能够追踪到谁访问修改过数据的元素。（5）用户身份认证确保每个用户身份被正确地识别，既便于审计追踪也为了限制对特定的数据进行访问。（6）访问控制允许用户只访问被允许的数据，以及限制不同的用户有不同的访问权限，如读或写。（6）可获（用）性用户应该可以访问所有被允许访问的数据。（7）数据库数据的备份提供数据库的增量备份功能，以便数据库可以及时恢复保证数据库中的数据确实有效，防止错误的发生。1.4.2网络安全保障（1）网络安全防护体系建设要求网络安全防护体系建设包括：1）防火墙系统：技术指标、防火墙设备配置要求；2）加密系统：设备配置要求；3）防病毒系统：功能与设备配置要求；4）防篡改系统：功能与设备配置要求；5）抗拒绝服务系统：拒绝服务攻击的分类、服务系统功能要求。6）网络管理系统：功能与设备配置要求。该标准类别为综合信息系统平台建设项目标准。（2）网络安全评估体系建设要求网络安全评估体系建设包括：1）系统评估机制；2）全面风险评估机制...