上海戏剧学院

系统建设安全管理规定

 第一章总则

 目的

为加强上海戏剧学院信息系统建设过程中的安全控制，保障信息系统本身以及开发、测试和上线运行过程中的安全性，规范信息系统获取、开发与维护过程中的职责定义与流程管理，特制订本规定。

 适用范围

本规定适用于上海戏剧学院信息系统的获取和开发、实施及上线及下线的全过程。

职责权限

1. 信息化工作与网络信息安全领导小组负责信息系统安全控制的总体规划。

2. 系统业务部门在信息化办公室协助下提出安全功能需求。

3. 系统技术开发部门负责保证系统在设计、开发和测试各个阶段均能满足项目安全需求，组织相应培训加强开发人员安全意识和安全编码技能。

4. 信息化办公室负责保证系统在验收和上线阶段满足项目安全需求、现有的系统安全标准及规范。

5. 增值业务部负责系统开发过程文档和系统测试文档的保管。

第二章管理规定

系统需求和设计阶段

1. 应识别系统建设资源需求，包括设备容量、设备性能、人员能力、开发技术等，除此以外还应识别系统的安全需求，可依照《系统安全功能设计检查列表》（见附件）明确基本安全需求点。

2. 应对系统进行风险分析，考虑业务处理流程中的技术控制要求、业务系统及其相关在线系统运行过程中的安全控制要求，在满足相关法律、法规、技术规范和标准等的约束下，确定系统的安全需求。

3. 系统需求部门、技术开发部门应与信息化办公室共同讨论信息系统的安全需求，确保对安全需求及其分析的理解达成一致。

4. 对系统安全应遵循适度保护的原则，需在满足基本要求的前提下，实施与业务安全等级相符合的安全机制。

5. 技术开发部门、信息化办公室应根据确定的安全需求设计系统安全技术方案，必须确保满足以下要求：

   1. 系统安全技术方案应至少包括网络安全设计、操作系统和数据库安全、应用软件安全设计等部分；

   2. 系统安全技术方案涉及采用的安全产品，应符合国家有关法律法规和公司现有安全制度的规定。

系统开发阶段

1. 开发人员的安全管理：

   1. 所有开发人员（员工和第三方人员）在参与重要信息系统项目开发之前，应确认已经过严格的背景审查，并签订了《保密协议》；

   2. 应确保开发人员和测试人员分离，开发人员不能兼任系统管理员或业务操作人员；

   3. 加强开发人员的职业道德教育，提高开发人员的安全防范和保密意识，并对开发人员进行安全防范和安全编码等方面的进行培训。

2. 开发人员权限管理：

   1. 系统开发项目负责人负责帐户安全管理工作。帐户安全管理的范围包括应用系统帐户和基础架构帐户（操作系统、数据库、源代码管理库帐户等）；

   2. 对于特权帐户及管理员帐户的申请和变更需经系统开发项目负责人审批。

3. 开发环境安全管理：

   1. 开发测试环境、运行环境必须相互独立，并采取网络隔离的控制措施；

   2. 开发测试系统环境应尽可能的效仿运行系统环境，操作系统、数据库、中间件的版本须保持一致；

   3. 严格管理开发环境中的各种移动设备、个人信息处理设备，禁止未经允许的设备接入开发环境。

4. 软件开发管理：

   1. 信息系统开发所使用的操作系统、数据库、开发工具软件等必须是业务授权使用的软件，严禁使用非授权软件；

   2. 应对编程语言和编程工具的使用进行培训，了解和掌握编程语言和编程工具已知的安全隐患；

   3. 开发人员要按照《代码编写安全规范》的要求编写代码，不得在程序中设置后门或恶意代码程序；

   4. 应对已有系统（或功能、模块等）的源代码文件或配置文件的修改予以控制，应通过正式的系统变更流程，完成源代码修改；

   5. 定期对重要的开发文档和源程序文件进行备份；

   6. 除因工作需要外，禁止任何人外借或对外复制公司所拥有的软件源代码；

   7. 加强对源代码的审查，防止源代码中存在后门和隐蔽信道。

5. 开发文档管理：

   1. 在软件开发过程中，应同步完成相关文档手册的编写工作，保证相关资料的完整性和准确性；

   2. 信息系统开发过程中的资料、文档应由业务增值部进行整理和归档；

   3. 文档中与安全相关的内容要准确、完整，并明确文档的密级以及分发范围；

   4. 开发过程中的各种文档，只能在授权分发范围内流转，任何人不得以各种形式进行其非授权分发或外泄。

系统测试验收阶段

1. 在信息系统测试阶段，应根据《系统安全功能检查列表》进行测试，确保所有设计的安全功均能得到落实和实现。

2. 在测试验收前应根据设计方案或合同要求等制订测试验收方案，在测试验收过程中应详细记录测试验收结果，并形成测试验收报告。

3. 在信息系统开发测试过程中，对于来自生产系统的数据要根据相关规定进行变形处理，禁止在开发或测试环境中直接使用生产系统的密钥和用户密码等重要数据。

4. 系统测试验收及上线的管理流程依照《系统上线管理流程》（见附件）执行。

5. 新建系统投入生产运行前应进行不少于1个月的模拟运行和不少于3个月的试运行。

系统交付阶段

1. 定详细的系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点。

2. 技术开发部门应在完成开发任务后将系统开发过程文档和系统测试文档全部移交增值业务部保管。

外包软件开发

1. 所有的外包软件开发必须与开发方签订保密协议。

2. 在开发过程中，将开发任务交给外包开发商时须在双方签订的第三方服务交付协议中明确规定系统的安全要求、安全控制措施、服务定义和交付水准；同时明确要求第三方提交的交付物不得包含任何恶意代码。

3. 软件交付时，应要求开发单位提供软件设计的相关文档和使用指南，并应要求外包开发商提供代码审计报告，检测软件包中是否存在恶意代码，确认软件质量是已到开发要求，并提交相应测试报告。

4. 应与外包开发商签署相关知识产权保护协议和保密协议，令其不得将系统采用的关键安全技术措施和核心安全功能设计对外公开。

上海戏剧学院

2018年10月

 第三章 附件

 附件一：系统安全功能检查列表

说明：

• 必须：必须启用该功能；

• 推荐：推荐启用该功能，没有特殊情况都应该启用该功能；

• 可选：可以启用该功能，如果启用可以增强系统安全性，如果不启用也不会给系统带来严重风险；

• 按需：根据具体系统、项目的需求而定，主要指法律法规方面的要求；

• 重要系统要求：对于重要信息系统的更高层次的要求；

• 基线系统要求：对于所有应用系统都必须达到的要求。

 附件二：系统上线管理流程

系统上线流程说明：

 附件三：系统上线确认表

 附件四：系统上线审批表