H公司今年在网络安全方面被西方国家针对,公司从2016年开始就不断在软件安全方面持续投入,引入了业界许多专家改进公司研发流程,保障安全要求能够在产品中落地;前段时间本人参与的产品,被选中参与英国UK认证,有幸参与了全流程的UK整改,现把UK整改的内容进行总结,供安全研发时参考。
UK整改涉及4个大的内容:配置管理,软件工程,安全工程,生命周期管理.全景图如下:
- 配置管理:来源可追溯,符合业界通用安全的要求和规范;所有变更有记录可以查询;
- 软件工程:进行安全相关的全流程审查,系统需求,系统架构设计,开发,测试等全流程是符合安全的架构;
- 安全工程:进行安全相关的审查和安全测试;
- 生命周期管理:整个产品生命周期,对安全有管理机制,如各个部件的生命周期大于等于产品生命周期;如产品被发现有安全问题,有对应安全管理机制(安全预警,安全补丁,升级等);