关于企业信息系统开发安全的思考

■ 福建 林郁 陈玮

随着网络安全提升到国家安全战略高度，在国家的大力支持和全民网络安全意识不断提高的背景下，网络安全产业一片欣欣向荣，日益壮大，网络安全在思想、理念、理论和技术等方面都取得了长足的进步。

但是信息系统开发由于时间跨度长、涉及人员多、涉及知识广，开发安全一直以来是企业信息化建设面临的一大难题。企业很难找到既具备开发能力又掌握开发安全知识的系统开发公司。

因此，本文以项目为主线，按照网络安全等级保护基本要求，结合日常工作实践，从立项、招标（或自主开发）、实施、试运行和验收五个阶段进行讨论，分别提出各阶段安全开发管理的步骤，进一步减少后期大幅返工整改甚至重建的工作量，确保新建信息系统的合规性、安全性和稳定性。

以信息系统建设为例，在立项阶段应做好定级和备案，在招标（或自主开发）阶段应做好对开发方的约束，在实施阶段应按照网络安全“三同步”原则设计、开发和使用信息系统，在试运行阶段应关注信息系统各项性能指标，在验收阶段应做好文档移交。

通过上述五个阶段一环扣一环地执行，可较好地提高信息系统的合规性。在这五个阶段如不注意，将会造成返工、工期延迟甚至不予验收等危害。

立项阶段

在项目立项环节，业务主管部门应评估新建信息系统应用情况，提出安全保护需求，信息化部门协同业务主管部门初步确定新建信息系统的安全保护等级。按照定级要素，一般可选择性地将具有公民个人信息、可互联网访问的信息系统定为三级系统，来加强防护。其他系统视情况定为二级系统或一级系统。特别地，如信息系统涉及人财物的内容，则该系统还应增加按照三级系统防护的要求。

新建信息系统安全保护等级经业务主管部门确认后，应按照《信息安全技术 网络安全等级保护基本要求》 《信息安全技术 网络安全等级保护测评要求》和《信息安全技术 网络安全等级保护安全设计技术要求》，组织专家对定级系统进行评审，出具最终评审意见。凭评审意见、定级报告和定级备案表，到属地公安机关备案。获取备案号后，方可进行后续测评。

招标（或自主开发）阶段

近几年国家主管部门对网络安全的监管要求日益提高，在招标采购环节加入开发安全要求势在必行。特别地，在项目验收前，明确要求通过具有相关安全评估资质的第三方安全评估并完成整改后，才可验收。

综合考虑上述要求，为避免因安全要求不达标，导致信息系统无法如期上线，造成不必要的损失，必须将安全要求前移。如自主开发，则在设计阶段就应遵循网络安全相关要求，制定开发规则；如是招标，可在标书和合同中，增加相关内容进行约束，具体内容包括：

1.最终交付物须满足对应国家信息系统安全等级保护要求。

2.在系统设计、开发、实施、验收等各环节，应根据《信息安全技术 网络安全等级保护基本要求》 《信息安全技术 网络安全等级保护测评要求》和《信息安全技术 网络安全等级保护安全设计技术要求》等开展各项工作。

3.开发方主要人员应签订保密协议书，明确在开发过程中的保密责任。开发中使用的平台、工具和软件应遵循国家软件正版化的相关要求，严禁使用盗版平台、工具和软件。

4.信息系统上线前，要委托具有安全评估资质的第三方对系统进行安全评估，并积极针对评估中发现的问题，及时整改。不符合安全要求的系统不允许上线试运行。

5.按照要求，适时开展信息系统等级保护测评工作。

实施阶段

在实施阶段，需关注如下方面：

一是在信息系统设计初期就应按照“三同步”原则，提出安全整体设计规划，并要求网络安全员参与信息系统设计。

二是应重视数据安全的保护工作，从完整性、保密性、备份恢复、剩余信息保护和个人信息保护出发，细化对数据安全的防范措施，贯彻执行。

三是应遵循网络安全等级保护的相关要求，从身份鉴别、访问控制、入侵防范、安全审计等方面出发，细化对服务器、网络设备、安全设备、终端和应用系统的防范措施，贯彻执行。

四是在代码开发过程中，关注代码漏洞的发现、分析及处理，有针对性的定期检查SQL注入、越权漏洞、XSS漏洞、跨站点请求伪造（CSRF）等常见威胁，提高代码的合规性。

五是在云计算安全、移动安全和工业控制系统安全方面，也应该按照相关规定，完善防范措施。

试运行阶段

系统试运行前，必须通过有评估资质的第三方公司的安全评估，方可进行系统上线，否则不符合基线安全要求的系统不允许上线试运行。

在系统试运行时，重点关注系统运行期间的指标情况，如服务器CPU、内存、存储以及网络的使用情况，系统自身功能以及身份鉴别、访问控制、安全审计等安全功能的实现情况。如有异常，应及时解决。

此外，在系统试运行期间，应当详细制定信息系统的管理制度、流程、操作手册和应急演练方案等，完善企业制度体系。一般情况下，应开展一次应急演练，检验应急演练方案。

验收阶段

本阶段是信息系统开发的最后一个阶段，应重点关注信息系统测评、数据资产的收集、弱口令检查和验收文档移交。具体如下：

一是等级保护测评。验收前，须按照国家要求，通过相应信息系统等级的测评，并获取国家相关主管部门认可的相应等级保护测评报告，和备案证明一并移交归档。

二是文档更新。做好资产表的更新以及相关服务器、数据库、中间件的监控和备份的申请和配置，确定信息资产更新责任人；做好数据流图的创建及更新，包括数据流向、端口、业务时间段及涉及系统等内容，确定信息资产更新责任人。

三是开展全面的弱口令检查，消除弱口令。同时，还应做好开发人员各类账号的降权和回收工作。

四是项目验收文档的移交。验收文档应包括开发建设工程文档、源代码、用户指南、系统管理员操作说明书及应急演练方案等。其中，源代码应附有阅读说明、版本编号规则以及版本编号。

总结

通过上述五个阶段的实施，可切实提高信息系统的合规性。但安全是动态发展的，贯穿信息系统从立项、建设到运维全生命周期。信息系统建设的结束，也就是信息系统运维的开始。此时更应定期检查各类安全设备日志和信息系统日志，及时发现存在的安全问题并整改，从而保证信息系统稳定、安全地运行。