■ 福建 林郁 陳瑋

隨著網(wǎng)絡(luò)安全提升到國家安全戰(zhàn)略高度，在國家的大力支持和全民網(wǎng)絡(luò)安全意識不斷提高的背景下，網(wǎng)絡(luò)安全產(chǎn)業(yè)一片欣欣向榮，日益壯大，網(wǎng)絡(luò)安全在思想、理念、理論和技術(shù)等方面都取得了長足的進步。

但是信息系統(tǒng)開發(fā)由于時間跨度長、涉及人員多、涉及知識廣，開發(fā)安全一直以來是企業(yè)信息化建設(shè)面臨的一大難題。企業(yè)很難找到既具備開發(fā)能力又掌握開發(fā)安全知識的系統(tǒng)開發(fā)公司。

因此，本文以項目為主線，按照網(wǎng)絡(luò)安全等級保護基本要求，結(jié)合日常工作實踐，從立項、招標（或自主開發(fā)）、實施、試運行和驗收五個階段進行討論，分別提出各階段安全開發(fā)管理的步驟，進一步減少后期大幅返工整改甚至重建的工作量，確保新建信息系統(tǒng)的合規(guī)性、安全性和穩(wěn)定性。

以信息系統(tǒng)建設(shè)為例，在立項階段應(yīng)做好定級和備案，在招標（或自主開發(fā)）階段應(yīng)做好對開發(fā)方的約束，在實施階段應(yīng)按照網(wǎng)絡(luò)安全“三同步”原則設(shè)計、開發(fā)和使用信息系統(tǒng)，在試運行階段應(yīng)關(guān)注信息系統(tǒng)各項性能指標，在驗收階段應(yīng)做好文檔移交。

通過上述五個階段一環(huán)扣一環(huán)地執(zhí)行，可較好地提高信息系統(tǒng)的合規(guī)性。在這五個階段如不注意，將會造成返工、工期延遲甚至不予驗收等危害。

立項階段

在項目立項環(huán)節(jié)，業(yè)務(wù)主管部門應(yīng)評估新建信息系統(tǒng)應(yīng)用情況，提出安全保護需求，信息化部門協(xié)同業(yè)務(wù)主管部門初步確定新建信息系統(tǒng)的安全保護等級。按照定級要素，一般可選擇性地將具有公民個人信息、可互聯(lián)網(wǎng)訪問的信息系統(tǒng)定為三級系統(tǒng)，來加強防護。其他系統(tǒng)視情況定為二級系統(tǒng)或一級系統(tǒng)。特別地，如信息系統(tǒng)涉及人財物的內(nèi)容，則該系統(tǒng)還應(yīng)增加按照三級系統(tǒng)防護的要求。

新建信息系統(tǒng)安全保護等級經(jīng)業(yè)務(wù)主管部門確認后，應(yīng)按照《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護基本要求》 《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護測評要求》和《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護安全設(shè)計技術(shù)要求》，組織專家對定級系統(tǒng)進行評審，出具最終評審意見。憑評審意見、定級報告和定級備案表，到屬地公安機關(guān)備案。獲取備案號后，方可進行后續(xù)測評。

招標（或自主開發(fā)）階段

近幾年國家主管部門對網(wǎng)絡(luò)安全的監(jiān)管要求日益提高，在招標采購環(huán)節(jié)加入開發(fā)安全要求勢在必行。特別地，在項目驗收前，明確要求通過具有相關(guān)安全評估資質(zhì)的第三方安全評估并完成整改后，才可驗收。

綜合考慮上述要求，為避免因安全要求不達標，導(dǎo)致信息系統(tǒng)無法如期上線，造成不必要的損失，必須將安全要求前移。如自主開發(fā)，則在設(shè)計階段就應(yīng)遵循網(wǎng)絡(luò)安全相關(guān)要求，制定開發(fā)規(guī)則；如是招標，可在標書和合同中，增加相關(guān)內(nèi)容進行約束，具體內(nèi)容包括：

1.最終交付物須滿足對應(yīng)國家信息系統(tǒng)安全等級保護要求。

2.在系統(tǒng)設(shè)計、開發(fā)、實施、驗收等各環(huán)節(jié)，應(yīng)根據(jù)《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護基本要求》 《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護測評要求》和《信息安全技術(shù) 網(wǎng)絡(luò)安全等級保護安全設(shè)計技術(shù)要求》等開展各項工作。

3.開發(fā)方主要人員應(yīng)簽訂保密協(xié)議書，明確在開發(fā)過程中的保密責任。開發(fā)中使用的平臺、工具和軟件應(yīng)遵循國家軟件正版化的相關(guān)要求，嚴禁使用盜版平臺、工具和軟件。

4.信息系統(tǒng)上線前，要委托具有安全評估資質(zhì)的第三方對系統(tǒng)進行安全評估，并積極針對評估中發(fā)現(xiàn)的問題，及時整改。不符合安全要求的系統(tǒng)不允許上線試運行。

5.按照要求，適時開展信息系統(tǒng)等級保護測評工作。

實施階段

在實施階段，需關(guān)注如下方面：

一是在信息系統(tǒng)設(shè)計初期就應(yīng)按照“三同步”原則，提出安全整體設(shè)計規(guī)劃，并要求網(wǎng)絡(luò)安全員參與信息系統(tǒng)設(shè)計。

二是應(yīng)重視數(shù)據(jù)安全的保護工作，從完整性、保密性、備份恢復(fù)、剩余信息保護和個人信息保護出發(fā)，細化對數(shù)據(jù)安全的防范措施，貫徹執(zhí)行。

三是應(yīng)遵循網(wǎng)絡(luò)安全等級保護的相關(guān)要求，從身份鑒別、訪問控制、入侵防范、安全審計等方面出發(fā)，細化對服務(wù)器、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、終端和應(yīng)用系統(tǒng)的防范措施，貫徹執(zhí)行。

四是在代碼開發(fā)過程中，關(guān)注代碼漏洞的發(fā)現(xiàn)、分析及處理，有針對性的定期檢查SQL注入、越權(quán)漏洞、XSS漏洞、跨站點請求偽造（CSRF）等常見威脅，提高代碼的合規(guī)性。

五是在云計算安全、移動安全和工業(yè)控制系統(tǒng)安全方面，也應(yīng)該按照相關(guān)規(guī)定，完善防范措施。

試運行階段

系統(tǒng)試運行前，必須通過有評估資質(zhì)的第三方公司的安全評估，方可進行系統(tǒng)上線，否則不符合基線安全要求的系統(tǒng)不允許上線試運行。

在系統(tǒng)試運行時，重點關(guān)注系統(tǒng)運行期間的指標情況，如服務(wù)器CPU、內(nèi)存、存儲以及網(wǎng)絡(luò)的使用情況，系統(tǒng)自身功能以及身份鑒別、訪問控制、安全審計等安全功能的實現(xiàn)情況。如有異常，應(yīng)及時解決。

此外，在系統(tǒng)試運行期間，應(yīng)當詳細制定信息系統(tǒng)的管理制度、流程、操作手冊和應(yīng)急演練方案等，完善企業(yè)制度體系。一般情況下，應(yīng)開展一次應(yīng)急演練，檢驗應(yīng)急演練方案。

驗收階段

本階段是信息系統(tǒng)開發(fā)的最后一個階段，應(yīng)重點關(guān)注信息系統(tǒng)測評、數(shù)據(jù)資產(chǎn)的收集、弱口令檢查和驗收文檔移交。具體如下：

一是等級保護測評。驗收前，須按照國家要求，通過相應(yīng)信息系統(tǒng)等級的測評，并獲取國家相關(guān)主管部門認可的相應(yīng)等級保護測評報告，和備案證明一并移交歸檔。

二是文檔更新。做好資產(chǎn)表的更新以及相關(guān)服務(wù)器、數(shù)據(jù)庫、中間件的監(jiān)控和備份的申請和配置，確定信息資產(chǎn)更新責任人；做好數(shù)據(jù)流圖的創(chuàng)建及更新，包括數(shù)據(jù)流向、端口、業(yè)務(wù)時間段及涉及系統(tǒng)等內(nèi)容，確定信息資產(chǎn)更新責任人。

三是開展全面的弱口令檢查，消除弱口令。同時，還應(yīng)做好開發(fā)人員各類賬號的降權(quán)和回收工作。

四是項目驗收文檔的移交。驗收文檔應(yīng)包括開發(fā)建設(shè)工程文檔、源代碼、用戶指南、系統(tǒng)管理員操作說明書及應(yīng)急演練方案等。其中，源代碼應(yīng)附有閱讀說明、版本編號規(guī)則以及版本編號。

總結(jié)

通過上述五個階段的實施，可切實提高信息系統(tǒng)的合規(guī)性。但安全是動態(tài)發(fā)展的，貫穿信息系統(tǒng)從立項、建設(shè)到運維全生命周期。信息系統(tǒng)建設(shè)的結(jié)束，也就是信息系統(tǒng)運維的開始。此時更應(yīng)定期檢查各類安全設(shè)備日志和信息系統(tǒng)日志，及時發(fā)現(xiàn)存在的安全問題并整改，從而保證信息系統(tǒng)穩(wěn)定、安全地運行。