T_HMSJRXH 001-2023 哈密市法人银行业金融机构软件开发安全需求规范.docx
《T_HMSJRXH 001-2023 哈密市法人银行业金融机构软件开发安全需求规范.docx》由会员分享,可在线阅读,更多相关《T_HMSJRXH 001-2023 哈密市法人银行业金融机构软件开发安全需求规范.docx(25页珍藏版)》请在得力文库 - 分享文档赚钱的网站上搜索。
1、ICS35.080L67团体标准T/HMSJRXH0012023哈密市法人银行业金融机构软件开发安全需求规范HamiCityLegalPersonBankingFinancialInstitutionsSoftwareDevelopmentSecurityRequirementsSpecification2023-11-20发布2023-11-20实施哈密市金融学会发布T/HMSJRXH0012023目次前言.引言.1范围.12规范性引用文件.13术语和定义.14概述.55适用范围.66安全需求.6附录A(规范性)安全威胁类型对应安全对策.19IT/HMSJRXH0012023前言本标准按照G
2、B/T1.1-2020标准化工作导则第1部分:标准化文件的结构和起草规则起草。本标准由哈密市商业银行股份有限公司提出。本标准由中国人民银行哈密市分行归口。本标准起草单位:中国人民银行哈密市分行、哈密市商业银行股份有限公司。本标准主要起草人:张雷、徐伟峰、阿依萨代提阿卜力孜、梁云鹏、朱磊、刘奎、李兵虎、何康旭、郑亚红、陈晨。IIT/HMSJRXH0012023引言本标准是参考国家及行业标准,结合法人银行业金融机构实际情况,规范软件开发中安全建设而制定的标准性文档,制定该规范目的是为了明确软件开发中需要遵循的信息安全标准。依据该规范,软件开发人员在软件开发整个生命周期中,规范软件安全需求分析、安全
3、设计、安全编码以及安全测试等工作,减少和控制软件安全漏洞和安全隐患,提高软件安全防护能力,进而开发符合法人银行业金融机构信息安全规范的高质量软件。IVT/HMSJRXH0012023哈密市法人银行业金融机构软件开发安全需求规范1范围本规范规定了软件开发人员在软件开发整个生命周期中,软件安全需求分析、安全设计、安全编码以及安全测试等工作要求。本规范适用于各类组织对项目经理、开发人员及安全管理人员的管理。2规范性引用文件下列文件中的内容通过文中的规范性引用而构成本标准必不可少的条款。其中,注日期的引用文件,仅该日期对应的版本适用于本标准;不注日期的引用文件,其最新版本(包括所有的修改单)适用于本标
4、准。GB/T25070-2010信息安全技术软件安全评测要求GB/T22239-2008信息安全技术防篡改技术要求GB/T22240-2008信息安全技术电子认证技术规范GB/T22239.2-2008信息安全技术防篡改技术评测指南GB/T31113-2014信息安全技术个人电脑安全要求ISO/IEC27001:2013信息技术-信息安全管理体系-要求ISO/IEC27034-1:2011信息技术-安全技术-应用安全-第1部分:概念和模型ISO/IEC15408-1:2009信息技术-安全评估方法-第1部分:概述和模型ISO/IEC27002:2013信息技术-安全技术-信息安全管理实践指南3
5、术语和定义下列术语和定义适用于本标准。3.1应用架构applicationarchitecture软件的最上层是应用程序和API,以下是中间件层,最低的基础设施层包括底层基础设施的逻辑表现和物理表现层。应用可能运行DMZ(demilitarizedzone)区域或者内部网的服务器上。3.2应用层applicationlayer1T/HMSJRXH001-2023应用层是软件的特有功能实现的地方。软件可能是定制开发的,或者是第三方的系统。3.3应用程序接口applicationprogramminginterface一组预先定义好的功能,开发者可通过该功能(或功能的组合)便捷地访问相关服务,而无
6、需关注服务的设计与实现。来源:JR/T0185-2020,3.13.4中间件middleware安全中间件是设计用于建立独立的安全服务功能,以便多应用调用的程序组件。3.5基础设施infrastructure基础设施层是应用在上面运行的操作环境。它包括了环境平台、网络服务、硬件和加密设备等。3.6安全日志securitylog这里所说的安全日志是指由软件记录的各种与信息安全相关的统计信息和异常事件,主要包括系统的启动与停止、系统的认证与授权、数据修改、删除以及数据传输等与信息安全相关的日志记录。不同与其它交易日志和防火墙或网络设备监控日志,在软件中我们把它单独抽取出来作为监控与分析软件,分析软
7、件安全的依据。安全日志本身不能提供足够的信息来确定对安全事件的是否响应及怎样响应。安全日志再加上收集和查询及分析安全日志的其他安全审计工具与技术,才能组成一个完整的对软件安全监控和检测机制。3.7安全审计Audit安全审计是通过对软件上发生的安全日志,并对日志进行统计分析,从而对资源使用情况进行事后分析的有效手段,也是发现和追踪事件的常用措施。在存储和使用安全建设中,审计的主要对象为用户、主机和节点,主要内容为访问的主体、客体、时间和成败情况等。安全审计应为确定发生的安全事件以及用户在安全事件中的责任提供准确的依据,是指软件能够检测、判断,或者使用工具和软件检测、判断发生了哪些安全事件,并采取
8、相应的响应措施。审计内容用于检测、判断发生了哪些与安全相关的活动,以及这些活动应由哪个用户负责。2T/HMSJRXH00120233.8用户ID-口令UserID-Password是软件和终端登录所采用的最基本的访问控制手段,对于口令管理的疏忽随时都可能导致对软件或终端系统的非法访问和破坏,因此从信息安全的角度,软件必须对于口令的设定、使用、更新和保护等各个环节进行规范提供足够技术支撑。3.9风险分析riskanalysis确定安全风险,决定风险等级,确立防护范围的过程。风险分析是风险管理的一部分。3.10安全策略securitypolicy规定机构如何管理、保护与分发敏感信息的法规与条例的集
9、合。3.11安全需求securityrequirements为使设备、信息、应用及设施符合安全策略的要求而需要采取的保护类型及保护等级。3.12安全测试safetytesting用于确定系统的安全特征按设计要求实现的过程。这一过程包括现场功能测试、渗透测试和验证。3.13保密性confidential为秘密数据提供保护状态及保护等级的一种特性。3.14数据完整性dataintegrity信息系统中的数据与在原文档中的相同,并未遭受偶然或恶意的修改或破坏时所具的性质。3T/HMSJRXH001-20233.15数据可用性dataAvailability当用户需要数据时,数据就以用户需要的形式存在
10、于用户需要的地方的一种状态。3.16不可否认性non-repudiation不可否认性是一种安全性概念,用来证明特定信息的传输过程。如果系统采用不可否认性技术,那么消息发送者就不能否认曾传送过该消息,而消息接收者也不能否认曾接收该消息。此外,如果消息包含合同信息,消息上的数字签名将能够验证合同信息并未遭到不当更改。3.17访问控制accesscontrol限制已授权的用户、程序、进程或计算机网络中其他系统访问本系统资源的过程。用于处理所赋予用户的访问权限,以便他们执行系统上的某些功能。3.18访问控制机制accesscontrolmechanism在信息系统中,为检测和防止未授权访问,以及为使
11、授权访问正确进行所设计的硬件或软件功能、操作规程、管理规程和它们的各种组合。3.19访问管理accessmanagement访问管理对访问信息进行管理,主要包含如下四项任务:帐户管理、维护、监控和撤销。3.20认证authentication信息系统技术和非技术的安全特征及其他防护的综合评估,用以支持审批过程和确定特殊的设计和实际满足一系列预定的安全需求的程度。3.21身份验证authentication4T/HMSJRXH0012023用户利用此方法向系统证明他们是所宣称的身份。身份验证通常采用密码、智能卡、生物技术等方式。3.22信息隐藏informationhiding它是隐藏信息或其他
12、数据存在的方法,其和密钥技术不同,它只隐藏信息内容,而不会隐藏信息本身。例如“无字墨水”。3.23强口令strongpassword强口令是设计使得个人或程序难得发现的一种口令。由于口令的目的在于保证只有授权用户才能访问资源,容易猜测的口令存在安全隐患。强口令的基本元素包括足够的长度以及多种字符类型的混合。当人们创建口令时,他们常常选择他们的名字、宠物的名字甚至“password”这个词,从而违背了口令的目的。3.24安全扫描securityscan利用安全扫描工具依照程序设定自动探测及发掘规则以探测系统缺陷和存在的漏洞。通过安全扫描查找安全漏洞,查杀病毒,木马,蠕虫等危害系统安全的恶意程序,
13、检测主机当前可用的服务及其开放端口,查找可能被远程试图恶意访问者攻击的大量众所周知的漏洞,隐患及安全脆弱点。4概述哈密市法人银行业金融机构软件开发安全需求规范(以下简称需求规范)是为规范软件开发中安全建设而制定的标准性文档,制定该规范目的是为了明确软件开发中需要遵循的信息安全标准。依据该规范,软件开发人员在软件开发整个生命周期中,规范软件安全需求分析、安全设计、安全编码以及安全测试等工作,减少和控制软件安全漏洞和安全隐患,提高软件安全防护能力,进而开发符合法人银行业金融机构信息安全规范的高质量软件。该规范制定过程中考虑了目前开发管理的实际情况并参照业界软件安全研究成果,从可操作性方面考虑,本版
14、软件开发安全需求规范仅确定了软件开发中应遵循的最小安全规范集合,该规范中所涉及的内容是软件开发中必须执行的内容,也是软件验收环节安全测试的依据,安全测试将作为评判软件是否符合上线的指标之一。在软件开发过程中的安全需求必须涵盖但不限于本规范的要求,重要系统软件开发中要根据自身软件风险分析情况充实完善软件安全需求。5T/HMSJRXH001-2023信息安全攻防技术是一个快速发展的领域,为应对新出现的软件安全漏洞和安全缺陷,需求规范也将定期更新,新补充的软件安全需求内容将会在随后版本中得到整合体现。5适用范围哈密市法人银行业金融机构软件开发安全需求规范中提到的软件包括在服务端、客户端运行以及单机上
15、独立运行的软件,需求规范中所指的软件包括哈密市法人银行业金融机构独立开发的软件及与外单位合作开发的软件,也包括通过委托外包方式开发的软件。各项目经理、开发人员及安全管理人员是哈密市法人银行业金融机构软件开发安全需求规范的使用对象。项目经理及开发人员负责软件开发安全需求在软件开发过程的落实工作,负责软件安全测试工作;安全管理人员负责项目可研立项阶段、需求分析和软件设计阶段的安全审核工作以及软件上线、验收过程中的安全测试审核工作。6安全需求软件开发安全需求包括六个方面,依次为软件访问控制、数据保护、编码安全、日志管理、部署准备和开发环境管理。访问控制部分说明软件自身在用户识别和授权方面的具体要求,
16、明确软件访问控制应具备的基本要素。数据保护部分说明如何在对数据分类的基础上,选择适当的技术措施进行数据安全保护。编码安全强调何种编码行为是要严格遵守,何种编码方式具有高隐患应予禁止,进而说明如何建立一种安全的软件编码机制。日志管理部分主要从可审计角度来考虑,明确软件应记录的行为内容、记录格式以及对日志的管理办法。部署准备说明软件上线前要对编码进行梳理规范,清除不必要的调试编码等信息,避免信息泄露等隐患。开发环境管理说明如何处理软件本身与开发和运行主机之间的关系,以保持软件自身安全与运载环境安全的一致性。6.1访问控制所有软件在可研阶段进行分析时,应当详尽分析所有用户在正常和异常情况下访问软件本
17、身及相关数据时可能存在的影响,申明访问控制能够保护的途径,以及软件访问控制本身不能保护而需要其他系统、网络和硬件等层面保护的范围。软件需求中必须明确软件访问控制的安全要求。认证和授权是信息安全的第一关,综合考虑安全和开发效率的关系,今后凡是需要在全行范围内推广使用的软件,涉及到访问控制功能部分,必须优先考虑利用哈密市法人银行业金融机构已有的认证授权安全平台来完成。访问控制主要考虑用户管理、用户认证、授权和会话控制四部分。6.1.1用户管理6.1.1.1用户分类6T/HMSJRXH0012023用户必须按类型和角色分类管理,至少分成系统维护人员、业务操作员以及软件服务对象三类。系统维护人员是指确
18、保软件系统正常运行的维护人员(例如日常维护软件系统的数据备份人员、版本管理人员等);业务操作员是指利用该软件为客户提供服务的业务人员(如银行柜面操作员、后台业务管理人员等);软件服务对象是指该软件最终服务的客户(如网上银行的客户、通过桌面设备、自助设备自行操作的客户,还包括通过业务操作员代为划卡等方式接触软件系统的用户等),帐户是其在软件系统中的身份标示。系统维护人员、业务操作员类别内也要至少分成具有用户管理权限的高级用户和仅仅从事一般业务的普通用户。6.1.1.2用户身份管理根据业务上对用户身份管理要求,软件应提供相应的用户身份帐户管理机制,包括提供用户身份帐户的创建、注销、冻结/解冻、修改
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- T_HMSJRXH 001-2023 哈密市法人银行业金融机构软件开发安全需求规范 001 2023 哈密市 法人 银行业 金融机构 软件 开发 安全 需求 规范
限制150内