银行信息安全：项目建设

信息安全规划的结果，往往会形成一些具体的项目以支撑规划的落实，包括单独的信息安全项目及在进行其他信息技术项目时对信息安全的落实（图8-4）。

图8-4 信息安全建设对信息安全规划的支撑

不管是哪种情形，都可以基于信息技术项目的生命周期对信息安全项目加以管理。该过程包括信息安全需求分析、安全方案设计、产品采购和使用、自行软件开发、外包软件开发、工程实施、测试验收、系统交付及安全服务商选择等阶段。

1.信息安全需求分析

信息技术项目建设初期，在考虑功能需求、性能需求时，还需考虑信息安全需求。虽然不同项目安全需求不尽相同，但都会考虑本项目的一些基本安全需求：身份鉴别、完整性、抗抵赖、机密性、可用性及授权。以下是一个银行应用系统的安全需求。

（1）身份鉴别 需求分析说明书中系统服务面向的用户群体及数量是否明确，用户的分类情况，用户重要性级别是否明确。

（2）完整性 业务是否与行外机构存在数据交互情况，数据的重要性和传输差错率的容忍度是否明确。

（3）抗抵赖 是否明确数据传输过程中会面临哪些情况，导致数据发送方否认发出数据；是否明确数据传输过程中会面临哪些情况，导致数据接收方否认接收到数据。

（4）机密性 是否明确存在什么样的交易数据；传输的数据是否需要加密；数据是否需要加密存储。

（5）可用性 是否需要7×24提供服务；容错、容量、灾备的情况如何。

（6）授权 是否需要面向互联网提供服务；是否需要面向办公提供服务。

2.安全方案设计

根据项目的安全保护需求选择基本安全措施，并依据风险分析的结果补充和调整安全措施，对信息系统的安全建设进行总体设计。根据信息系统实际情况，统一考虑安全保障体系的总体安全策略、安全技术框架、安全管理策略、总体建设规划和详细设计方案，并形成配套文件。

3.产品采购和使用

对于信息技术项目建设，通常会进行产品采购和使用，为了确保安全，应注意：

1）确保安全产品采购和使用符合国家的有关规定。

2）确保密码产品采购和使用符合国家密码主管部门的要求。

3）预先对产品进行选型测试，确定产品的候选范围，并定期审定和更新候选产品名单。

4.自行软件开发

对于信息技术项目中自行软件开发的情形，需要加强信息安全保障工作，主要包括：

1）应确保开发环境与实际运行环境物理分开，开发人员和测试人员分离，测试数据和测试结果受到控制。

2）应制定软件开发管理制度，明确说明开发过程的控制方法和人员行为准则。

3）应制定代码编写安全规范，要求开发人员参照规范编写代码。(www.xing528.com)

4）应确保提供软件设计的相关文档和使用指南，并由专人负责保管。

5）应确保对程序资源库的修改、更新、发布进行授权和批准。

5.外包软件开发

对于信息技术项目中自行软件开发的情形，需要加强信息安全保障工作，主要包括：

1）应根据开发需求检测软件质量。

2）应在软件安装之前检测软件包中可能存在的恶意代码。

3）应要求开发单位提供软件设计的相关文档和使用指南。

4）应要求开发单位提供软件源代码，并审查软件中可能存在的后门。

6.测试验收

为了保证信息技术项目的安全性，客观地了解信息技术项目的安全状况，需要根据信息技术项目实际情况进行安全测试，具体包括：

1）应委托公正的第三方测试单位对系统进行安全性测试，并出具安全性测试报告。

2）在测试验收前应根据设计方案或合同要求等制定测试验收方案；在测试验收过程中应详细记录测试验收结果，并形成测试验收报告。

3）应对系统测试验收的控制方法和人员行为准则进行书面规定。

4）应指定或授权专门的部门负责系统测试验收的管理，并按照管理规定的要求完成系统测试验收工作。

5）应组织相关部门和相关人员对系统测试验收报告进行审定，并签字确认。

7.系统交付

测试验收通过后，信息技术项目将进入交付运行阶段，此时的安全要求包括：

1）应制定详细的系统交付清单，并根据交付清单对所交接的设备、软件和文档等进行清点。

2）应对负责系统运行维护的技术人员进行相应的技能培训。

3）应确保提供系统建设过程中的文档和指导用户进行系统运行维护的文档。

4）应对系统交付的控制方法和人员行为准则进行书面规定。

5）应指定或授权专门的部门负责系统交付的管理工作，并按照管理规定的要求完成系统交付工作。