ICS35.080CCSL77

2201長 春 市 地 方 標 準DB2201/T71—2024政務應用系統開發安全規范Securityspecificationforgovernmentapplicationsystemdevelopment2024-12-30發布 2025-02-07實施長春市市場監督管理局??發布DB2201/T71DB2201/T71—2024IIII前 言本文件按照GB/T1.1—2020《標準化工作導則 第1部分：標準化文件的結構和起草規則》的規定起草。請注意本文件的某些內容可能涉及專利。本文件的發布機構不承擔識別專利的責任。本文件由長春市政務服務和數字化建設管理局提出并歸口。（長春市WTO/TBT咨詢中心。本文件起草人：劉競雄、柳羽輝、鄧賀、戚志軍、李聰、冷皓、李凌岳。DB2201/T71DB2201/T71—2024PAGEPAGE3政務應用系統開發安全規范范圍本文件規定了政務應用系統開發過程中需求分析、設計、開發、測試、部署及運維各階段的安全要求。本文件適用于政務應用系統開發過程。規范性引用文件（包括所有的修改單適用于本文件。GB/T25069 信息安全技術術語GB/T36626 信息安全技術信息系統安全運維管理指南GB/T39412 信息安全技術代碼安全審計規范GB/T39837 信息技術遠程運維技術參考模型術語和定義GB/T25069界定的以及下列術語和定義適用于本文件。政務應用系統governmentapplicationsystem需求分析階段requirementanalysisphase收集和理解用戶需求，確保最終軟件產品能夠完全滿足用戶需求的過程。代碼安全審計codesecurityaudit對代碼進行安全分析，以發現代碼安全缺陷或違反代碼安全規范的動作。[來源：GB/T39412-2020，3.1.1]需求分析階段系統安全應包括但不限于以下內容：安全需求分析：確定系統的安全需求，包括身份驗證、授權、數據保護、審計跟蹤等方面的需求；敏感信息識別：確定系統的敏感信息，如個人身份信息、財務數據等，并明確其在系統中的流動和處理方式；安全性能要求：確定系統在安全性能方面的要求，包括認證和授權的響應速度以及數據加密解密的效率；合規性要求：確定系統在合規性方面的要求，包括法律法規、標準、業務規范等要求。數據保護與訪問控制應包括但不限于以下內容：數據保護要求：確定系統對數據的加密、傳輸、存儲和銷毀等方面的保護要求，包括加密算法、密鑰管理、數據備份和災難恢復等措施；訪問控制要求：確定系統對不同用戶角色的訪問控制策略，包括用戶身份驗證、權限分配和訪問控制規則等。監控與審計應確定系統需要記錄和審計的安全事件和操作，包括登錄記錄、權限變更記錄、數據訪問記錄等。安全保障與培訓應確定系統用戶和管理人員需要接受的安全培訓內容和頻率。應急響應與事件處理系統應具備應對安全事件的能力，包括但不限于開展應急演練、實施事件響應、制定規劃與流程、進行漏洞修復，及事件恢復等。外部合作與供應商管理應確定與外部供應商合作時對其安全性的要求，包括安全評估、合同條款、監督和審查等。安全測試與驗證應確定滲透測試、代碼審查、安全漏洞掃描等安全測試與驗證的范圍和內容。設計階段環境安全要求應對以下方面進行確認：應用系統服務器操作系統安全定期更新補丁、強化身份驗證；應用系統數據訪問權限的控制、對敏感數據進行加密存儲、定期備份；應用系統網絡通信安全。身份識別和認證訪問控制和授權應包括但不限于以下內容：采用統一的認證和授權平臺，認證過程需要進行加密，密鑰長度不低于128輸入數據應采用輸入復核或其他輸入檢查方式；具有用戶權限分配和管理功能；定義用戶或系統進程可以訪問特定資源以及對資源的操作權限；API（應用程序接口）進行訪問控制；在報文響應包含安全標頭。輸入數據驗證為防止惡意輸入引發的安全風險，輸入的敏感數據應采取安全措施。敏感數據保護應從數據收集、傳輸、存儲、處理、交換、銷毀等方面對敏感數據進行安全保護。開發階段開發環境安全要求應包括但不限于以下內容：選取專門的安全區域，禁止或限制訪問互聯網；明確訪問項目文檔和代碼的權限，做好記錄并定期審計；對項目文檔和代碼進行版本管理和控制。代碼安全要求應通過代碼安全審計，代碼安全審計宜參照GB/T39412執行。測試階段應明確測試安全要點，包括但不限于以下內容：系統測試避免使用含有個人信息的業務數據庫；使用脫敏、混淆等方式對測試數據進行處理；測試過程使用的后門、用戶名及口令不可保存并同步發布到生產版本；同步開展安全檢查，生產部署版本不存在測試賬號；測試環境與開發和生產環境隔離。部署階段應制定部署標準、流程、應急預案及回退方案，明確所需資源和人員等。應開展配置管理，包括但不限于以下內容：權限控制：由經過授權的操作員和管理員進行；基于角色的授權策略：配置管理基于角色（操作員和管理員等）進行授權；權限最小原則：對于系統內部賬號、服務賬號等，遵循權限