安全需求识别规范--模板

​

安全需求识别规范
注释：需要配合安全识别表使用
目录

一. 概述

二. 适用范围

三. 关于本文档

3.1 参考依据

3.2 相关人员

四. 安全需求识别规范

4.1 定义安全级别

4.2 资质及人员需求

4.3 物理及环境需求

4.4 对数据安全的需求

4.5 对系统的需求

4.6 对安全漏洞的需求

4.7 对安全设计的需求

4.8 对入侵防范的需求

4.9 对开发过程管理的需求

四. 安全需求识别规范

一、概述

本标准规范依据相关信息系统技术标准的要求编写。用于指导XXX公司信息系统项目管理人员针对应用开发安全需求进行规范识别，进而开发符合XXX公司信息安全级别要求的信息系统。

二、适用范围

本规范主要针对XXX公司开发的信息系统的软件研发类项目需求阶段应遵循的主要安全需求和安全需求识别的使用。本规范所涉及的文档，流程仅限于XXX公司信息部的项目运作指导使用，本规范最终解释权归XXX公司信息化所有。

三、关于本文档

3.1参考依据

1. 《计算机软件开发规范》 GB-T 8566-2007
2. 《信息安全技术网络安全等级保护基本要求》 GB-T 22239-2019
3. 《信息安全管理要求》 ISO/IEC27001

3.2相关人员

1. 使用人员：本文档原则上由安全管理、安全运维人员参考使用。
2. 维护人员：本文档原则上由安全管理人员统筹，由安全运维人员负责使用与修改。

四、安全需求识别规范
4.1定义安全级别
安全需求识别表需要在软件项目需求环节即确定该软件项目的安全级别。原则上安全级别的定义要依据《应用系统安全定级指南》指导使用《应用系统安全定级权重表》对软件项目进行安全定级，经由项目相关管理人员与安全运维人员协商产生，要素如下：

1. 软件系统是否使用到国家要求的受法律保护的敏感数据；
2. 软件系统需要根据相应的业务级别定义安全级别；
3. 软件系统需要根据涉及的商秘级别定义安全级别；
4. 软件系统需要根据运行物理环境定义安全级别。

4.2资质及人员需求
注释： 资质及人员要求建立在该软件开发项目使用非本公司的软件开发人员基础上，本公司的软件开发团队开发的项目可以跳过此项。
安全需求识别表可针对开发方的安全资质及人员要求提出定义：

开发方是否满足项目需求预设资质；

1. 人员是否满足安全开发需要的技术水平、开发经验等；
2. 人员是否能满足进行封闭式、使用第三方环境、驻场开发等改变开发方开发现状的要求。

物理及环境需求

1. 安全需求识别表可针对安全物理环境、厂内、云计算、移动互联网、物联网、工业控制系统的不同提出
2. 不同的安全需求(注释：老旧系统功能更新因为物理环境已成既定事实，可跳过此步骤)：
3. 是否需要开发方提供物理环境，如果提供物理环境则提出物理环境安全需求；
4. 是否是厂内、云环境、互联网、物联网、工控等等提出对应的环境要求。

对数据安全的需求
安全需求识别表可根据安全级别不同针对数据的完整性、保密性、备份恢复、日志的存留时间做出定义：

1. 开发方提供部署环境应提出确保客户数据、用户个人信息等存储于中国境内；
2. 应使用校验或密码技术确保重要数据的完整性，并有恢复措施；
3. 应能保证项目系统的的业务数据存在定期备份功能；
4. 应能保证项目系统的业务数据存在便捷的迁移手段或提供迁移指南；
5. 应能保证业务日志，系统日志，审计日志保留时间大于等于6个月；
6. 国家要求的受法律保护的敏感数据应使用严格的加密和保护措施。

对系统的需求
安全需求识别表可针对操作系统、软件执行环境提出安全需求(注释：老旧系统功能更新因为系统环境已成既定事实，可跳过此步骤)：

1. 安全需求识别表可针对操作系统提出要求，确保符合XXX公司操作系统使用要求；
2. 安全需求识别表可针对软件执行环境提出要求，确保执行所需相关中间件在一定周期内不会不再维护，或产生安全隐患。

对安全漏洞的需求

1. 安全需求识别表需要针对安全漏洞的修复响应提出安全需求：
2. 安全需求识别表可针对开发方对安全漏洞的处置响应提出要求；
3. 安全需求识别表可针对安全漏洞处置的责任归属进行要求。

对安全设计的需求
安全需求识别表需要对安全设计提出要求：

1. 安全需求识别表可根据当前互联网安全环境提出对技术选型的要求；
2. 安全需求识别表可根据软件系统安全级别提出相应安全设计要求；
3. 安全需求识别表可对开发方提出安全编码规范的要求；
4. 安全需求识别表可根据软件项目安全级别不同对项目整体提出代码审计、渗透测试等等安全审计服务要求。

对入侵防范的需求
安全需求识别表可针对入侵防范及合规性提出要求：

1. 安全需求识别表可对项目系统运行部署环境提出权限要求；
2. 安全需求识别表可对项目系统异常访问日志提出记录要求；
3. 安全需求识别表可根据实际情况对项目系统异常行为告警需求；
4. 安全需求识别表可根据实际情况对项目系统资源组件失效提出告警需求；
5. 安全需求识别表可根据实际情况对限制访问控制提出需求；
6. 安全需求识别表可根据实际情况对与第三方系统保持安全对接提出需求；
7. 根据软件系统安全级别不同，安全需求识别表可调整安全相关需求；
8. 根据软件系统安全级别不同，安全需求识别表需要对访问控制、身份验证提出不同的要求；
9. 如若是工业控制系统，安全需求识别表需要定义单项技术隔离手段。

对开发过程管理的需求
安全需求识别表可对开发过程安全管理提出要求：

1. 安全需求识别表可对软件系统开发过程代码管理提出要求；
2. 安全需求识别表可对软件系统全生命周期阶段的资料保密性提出要求；
3. 安全需求识别表可对软件系统开发环境、测试环境提出保密要求；
4. 安全需求识别表可根据项目需求要求开发方签订关键技术防扩散和设备行业专用等方面内容。

​附：安全需求识别表