項(xiàng)目研發(fā)安全管理模式探索

殷樹(shù)剛 馬宗超 劉鋒 張津銘 南淑君

隨著企業(yè)業(yè)務(wù)應(yīng)用的不斷拓展、信息化程度的不斷提高，企業(yè)的生產(chǎn)經(jīng)營(yíng)活動(dòng)對(duì)信息系統(tǒng)和網(wǎng)絡(luò)的依賴程度越來(lái)越高，然而軟件和互聯(lián)網(wǎng)技術(shù)的高速發(fā)展也帶來(lái)了新的威脅，病毒和黑客攻擊層出不窮，零日漏洞和后門(mén)事件頻繁發(fā)生，直接影響企業(yè)的正常生產(chǎn)經(jīng)營(yíng)和業(yè)務(wù)運(yùn)作。特別是對(duì)于作為關(guān)系國(guó)家能源安全和國(guó)民經(jīng)濟(jì)命脈的國(guó)家電網(wǎng)公司而言，系統(tǒng)安全至關(guān)重要，這就要求信息系統(tǒng)研發(fā)單位應(yīng)加強(qiáng)項(xiàng)目研發(fā)過(guò)程中的安全管控，盡可能地減少系統(tǒng)出廠缺陷和漏洞，提高系統(tǒng)的安全性和穩(wěn)定性。

從源頭解決安全隱患

微軟等公司的研究和經(jīng)驗(yàn)表明，在應(yīng)用系統(tǒng)發(fā)布后發(fā)現(xiàn)漏洞的成本是開(kāi)發(fā)期間的30倍。因此，要實(shí)現(xiàn)信息系統(tǒng)的安全開(kāi)發(fā)，最有效的方法就是減少在系統(tǒng)開(kāi)發(fā)期間的編碼錯(cuò)誤數(shù)量，并盡早發(fā)現(xiàn)在系統(tǒng)開(kāi)發(fā)生命周期出現(xiàn)的問(wèn)題。越早發(fā)現(xiàn)項(xiàng)目研發(fā)安全反饋信息，越有利于項(xiàng)目以更低成本修復(fù)。與其依賴于項(xiàng)目后期的出廠安全測(cè)試，不如在整個(gè)項(xiàng)目開(kāi)發(fā)全過(guò)程中的各環(huán)節(jié)引入安全實(shí)踐，如在分析業(yè)務(wù)需求的同時(shí)主動(dòng)進(jìn)行威脅建模，分析安全需求；在系統(tǒng)功能架構(gòu)設(shè)計(jì)時(shí)主動(dòng)進(jìn)行安全防護(hù)架構(gòu)設(shè)計(jì)；在系統(tǒng)實(shí)現(xiàn)過(guò)程中引入代碼安全檢查機(jī)制，及時(shí)檢查代碼缺陷，通過(guò)這些手段，項(xiàng)目研發(fā)人員可以盡早地發(fā)現(xiàn)和解決系統(tǒng)安全問(wèn)題，而不必依賴于通過(guò)最終的出廠安全測(cè)試才能知道安全問(wèn)題。

為了盡可能減少系統(tǒng)出廠時(shí)的編碼低級(jí)錯(cuò)誤和系統(tǒng)漏洞，提高系統(tǒng)可用性和安全性，國(guó)網(wǎng)信息通信產(chǎn)業(yè)集團(tuán)有限公司（下稱“信通產(chǎn)業(yè)集團(tuán)”）嘗試在項(xiàng)目管理整個(gè)生命周期提前介入安全管理，組織集團(tuán)各下屬研發(fā)單位從安全組織措施和安全技術(shù)措施兩方面開(kāi)展項(xiàng)目過(guò)程研發(fā)安全管控工作，通過(guò)多種管理措施，從源頭上盡早、盡快、持續(xù)地發(fā)現(xiàn)并解決系統(tǒng)安全問(wèn)題。

加強(qiáng)組織管理

信通產(chǎn)業(yè)集團(tuán)下屬各單位結(jié)合自身項(xiàng)目特點(diǎn)，建立健全項(xiàng)目過(guò)程中研發(fā)安全管理機(jī)制，明確研發(fā)安全管理組織架構(gòu)，常態(tài)開(kāi)展研發(fā)安全檢查。

明確項(xiàng)目過(guò)程研發(fā)安全管理要求

為保證項(xiàng)目過(guò)程研發(fā)安全管控工作有據(jù)可依，集團(tuán)下屬各單位需參照《中華人民共和國(guó)網(wǎng)絡(luò)安全法》《國(guó)網(wǎng)信通部關(guān)于印發(fā)2016年公司信息系統(tǒng)研發(fā)安全工作要求的通知》（信通技術(shù)[2016]41號(hào)）《國(guó)網(wǎng)信息通信產(chǎn)業(yè)集團(tuán)有限公司研發(fā)安全管理辦法》（信通集團(tuán)安質(zhì)[2016]138號(hào)），結(jié)合集團(tuán)下屬各單位研發(fā)安全管控現(xiàn)狀和自身項(xiàng)目特點(diǎn)，明確各自項(xiàng)目過(guò)程研發(fā)安全管理要求，建立健全本單位關(guān)于項(xiàng)目過(guò)程研發(fā)安全管控的制度流程，據(jù)此開(kāi)展本單位項(xiàng)目過(guò)程研發(fā)安全管控工作。管理要求應(yīng)明確、具體、可操作，如各單位所承建信息系統(tǒng)開(kāi)發(fā)項(xiàng)目中的所有開(kāi)發(fā)人員，均需簽訂網(wǎng)絡(luò)安全及保密承諾書(shū)，對(duì)網(wǎng)絡(luò)使用、數(shù)據(jù)共享等行為進(jìn)行約束；明確開(kāi)發(fā)人員的訪問(wèn)權(quán)限，做好人員權(quán)限記錄，及時(shí)變更或清理離職人員賬號(hào)，并保留相關(guān)記錄等。

健全項(xiàng)目過(guò)程研發(fā)安全管控的組織機(jī)構(gòu)

為確保項(xiàng)目研發(fā)安全，研發(fā)單位首先需健全項(xiàng)目研發(fā)安全管理組織機(jī)構(gòu)，明確各級(jí)管理組織的職責(zé)要求，強(qiáng)化責(zé)任主體意識(shí)對(duì)項(xiàng)目安全管理的重要性，在項(xiàng)目研發(fā)過(guò)程中要求各責(zé)任主體各負(fù)其責(zé)、各司其職、密切協(xié)作，共同提高項(xiàng)目研發(fā)安全管理水平，避免系統(tǒng)出現(xiàn)低級(jí)缺陷或致命安全問(wèn)題。

整個(gè)研發(fā)過(guò)程安全管理組織架構(gòu)分安全開(kāi)發(fā)決策層、安全開(kāi)發(fā)管理層和安全開(kāi)發(fā)執(zhí)行層三個(gè)層級(jí)。其中，安全開(kāi)發(fā)決策層的研發(fā)中心分管領(lǐng)導(dǎo)對(duì)安全開(kāi)發(fā)負(fù)最終責(zé)任，負(fù)責(zé)推動(dòng)研發(fā)中心安全工作，并對(duì)安全開(kāi)發(fā)相關(guān)重大事宜進(jìn)行決策、總體組織/協(xié)調(diào)、安全開(kāi)發(fā)資源分配、安全開(kāi)發(fā)整體監(jiān)督和考核。

各單位所承建項(xiàng)目的項(xiàng)目經(jīng)理應(yīng)為該項(xiàng)目研發(fā)安全的第一責(zé)任人，對(duì)研發(fā)中心分管領(lǐng)導(dǎo)負(fù)責(zé)。項(xiàng)目經(jīng)理負(fù)責(zé)總體協(xié)調(diào)項(xiàng)目過(guò)程研發(fā)安全管控工作。各單位所承建項(xiàng)目應(yīng)明確一名項(xiàng)目研發(fā)安全專責(zé)（可兼職），研發(fā)安全專責(zé)負(fù)責(zé)本項(xiàng)目過(guò)程研發(fā)安全管理工作的具體執(zhí)行，監(jiān)督研發(fā)人員執(zhí)行研發(fā)安全相關(guān)制度。

落實(shí)項(xiàng)目?jī)杉?jí)研發(fā)安全檢查機(jī)制

為了保證研發(fā)安全相關(guān)要求和制度能夠落地，加強(qiáng)項(xiàng)目過(guò)程研發(fā)安全管控，信通產(chǎn)業(yè)集團(tuán)建立了各下屬單位自查和集團(tuán)本部抽查的兩級(jí)安全檢查機(jī)制，從組織管理和技術(shù)管理兩個(gè)維度，設(shè)置研發(fā)安全管理制度、研發(fā)安全培訓(xùn)教育、研發(fā)人員安全管理、開(kāi)發(fā)安全測(cè)試、開(kāi)發(fā)環(huán)境安全、代碼安全管理等幾個(gè)檢查項(xiàng)，對(duì)各單位研發(fā)安全工作開(kāi)展情況及重點(diǎn)項(xiàng)目研發(fā)安全管控進(jìn)行檢查。即各單位應(yīng)按照研發(fā)安全檢查項(xiàng)常態(tài)開(kāi)展本單位的項(xiàng)目過(guò)程研發(fā)安全管理自查，檢查結(jié)果按季度上報(bào)集團(tuán)項(xiàng)目管理中心。信通產(chǎn)業(yè)集團(tuán)不定期組織開(kāi)展項(xiàng)目過(guò)程研發(fā)安全管理抽查，對(duì)抽查結(jié)果進(jìn)行通報(bào)并納入考核。

提升安全技術(shù)水平

為了從技術(shù)上保證項(xiàng)目過(guò)程中的研發(fā)安全，應(yīng)從整個(gè)項(xiàng)目全生命周期的各個(gè)階段引入安全管理：項(xiàng)目規(guī)劃階段明確安全需求；項(xiàng)目設(shè)計(jì)階段應(yīng)充分考慮數(shù)據(jù)傳輸、處理、存儲(chǔ)等各個(gè)過(guò)程中的安全要求，并對(duì)系統(tǒng)應(yīng)用進(jìn)行安全控制、設(shè)計(jì)等。信通產(chǎn)業(yè)集團(tuán)特別針對(duì)項(xiàng)目設(shè)計(jì)、開(kāi)發(fā)和測(cè)試三個(gè)階段加強(qiáng)了研發(fā)安全管理，進(jìn)一步提升項(xiàng)目安全防護(hù)方案質(zhì)量、開(kāi)發(fā)人員編碼規(guī)范性和系統(tǒng)出廠安全測(cè)試通過(guò)率。

開(kāi)展項(xiàng)目安全防護(hù)方案審查

在項(xiàng)目概要設(shè)計(jì)結(jié)束以后，根據(jù)系統(tǒng)定級(jí)編制相應(yīng)的項(xiàng)目安全防護(hù)方案，并組織單位內(nèi)部專家開(kāi)展內(nèi)部審查（即同行檢查），以提高安全防范方案質(zhì)量。對(duì)通過(guò)內(nèi)部審查的項(xiàng)目，信通產(chǎn)業(yè)集團(tuán)抽取滿足條件的重點(diǎn)項(xiàng)目，邀請(qǐng)外部專家進(jìn)行集中審查這些重點(diǎn)項(xiàng)目的安全防護(hù)方案（即專家審查），以協(xié)助下屬各單位提升項(xiàng)目安全防護(hù)方案的質(zhì)量和第三方評(píng)審?fù)ㄟ^(guò)率，對(duì)未通過(guò)第三方評(píng)審的項(xiàng)目進(jìn)行通報(bào)并納入考核。

加強(qiáng)開(kāi)發(fā)環(huán)境安全管理

各單位按照信通產(chǎn)業(yè)集團(tuán)相關(guān)要求加強(qiáng)對(duì)開(kāi)發(fā)環(huán)境的安全管理，落實(shí)安全編碼規(guī)范，提升代碼安全性和規(guī)范性，具體技術(shù)措施如下：

（1）開(kāi)發(fā)環(huán)境及測(cè)試環(huán)境必須與實(shí)際運(yùn)行環(huán)境及辦公環(huán)境安全隔離，嚴(yán)禁將開(kāi)發(fā)環(huán)境擅自連接互聯(lián)網(wǎng)。

（2）開(kāi)發(fā)終端應(yīng)專機(jī)專用，并針對(duì)不同的開(kāi)發(fā)人員設(shè)置登陸密碼和使用權(quán)限。

（3）開(kāi)發(fā)工具原則上采用國(guó)家電網(wǎng)公司統(tǒng)一開(kāi)發(fā)平臺(tái)（SG-UAP）進(jìn)行開(kāi)發(fā)，如必須引入開(kāi)源組件或第三方平臺(tái)則需通過(guò)安全測(cè)評(píng)方可使用。

（4）設(shè)置專門(mén)的代碼服務(wù)器并進(jìn)行安全防護(hù)和訪問(wèn)權(quán)限設(shè)置。

除此之外，通過(guò)多年軟件開(kāi)發(fā)項(xiàng)目經(jīng)驗(yàn)，信通產(chǎn)業(yè)集團(tuán)總結(jié)編制公司統(tǒng)一編碼規(guī)范，并要求各單位研發(fā)人員應(yīng)嚴(yán)格按照安全編碼規(guī)范進(jìn)行編碼，建立代碼簽名制，實(shí)現(xiàn)代碼可追溯。

完善安全測(cè)試閉環(huán)管理機(jī)制

以安全測(cè)試為重要抓手，建立安全測(cè)試閉環(huán)管理，開(kāi)展項(xiàng)目過(guò)程中代碼安全檢測(cè)，持續(xù)跟蹤代碼缺陷，直至完成缺陷整改驗(yàn)證，避免系統(tǒng)出現(xiàn)常見(jiàn)低級(jí)錯(cuò)誤，如SQL注入、程序后門(mén)等。對(duì)多次測(cè)試未通過(guò)的代碼或系統(tǒng)追究相關(guān)編碼人員和負(fù)責(zé)人的安全責(zé)任，對(duì)其進(jìn)行通報(bào)并納入考核，以提升系統(tǒng)安全可靠性。

綜上所述，通過(guò)建立以管理手段為抓手、以技術(shù)手段為支撐的項(xiàng)目安全管理體系，信通產(chǎn)業(yè)集團(tuán)在項(xiàng)目全生命周期的各個(gè)階段中實(shí)施研發(fā)過(guò)程安全管理，確保安全需求在項(xiàng)目中充分實(shí)施，滿足集團(tuán)整體安全策略的要求。