企業(yè)信息化研發(fā)安全管理體系優(yōu)化設(shè)計(jì)

摘? 要：“互聯(lián)網(wǎng)+”時(shí)代的到來，有力地促進(jìn)了企業(yè)信息化應(yīng)用，但是企業(yè)信息化軟件研發(fā)也面臨著許多安全威脅，存在許多可以避免或消除的信息系統(tǒng)安全漏洞，這給企業(yè)信息化軟件普及帶來了嚴(yán)峻的挑戰(zhàn)。因此，為了提高企業(yè)信息化普及水平，本文簡要介紹了企業(yè)信息化研發(fā)現(xiàn)狀及安全管理體系相關(guān)內(nèi)容，分析了企業(yè)信息化研發(fā)安全管理體系存在的問題并提出解決對(duì)策，本文從六個(gè)方面針對(duì)企業(yè)信息化研發(fā)安全管理體系進(jìn)行了深入研究，優(yōu)化研發(fā)組織職能，制定嚴(yán)格的信息化研發(fā)管理制度，加強(qiáng)研發(fā)過程管控，同時(shí)加強(qiáng)技術(shù)支撐、評(píng)價(jià)考核和配套保證，進(jìn)一步提高企業(yè)信息化研發(fā)安全管理水平。

關(guān)鍵詞：信息系統(tǒng)本質(zhì)安全;研發(fā)安全管理體系;研發(fā)全過程管控

Abstract：The advent of the “internet plus” era has effectively promoted the application of enterprise information. However，enterprise information software development is also facing many security threats. There are many information system security vulnerabilities that can be avoided or eliminated，and this has brought severe challenges to the popularization of enterprise information software. Therefore，in order to improve the level of enterprise informatization，this paper describes in detail the status of enterprise information research and development and the content of security management system，analyzes the existing problems and proposes solutions. This paper proposes the enterprise information security research and development security management system from six aspects. R&D organizational functions，develop a strict information research and development management system，strengthen the control of the research and development process，while strengthening technical support，evaluation and supporting guarantees，and further improve the level of enterprise information research and development security management.

Keywords：information system intrinsic safety;R & D safety management system;R&D process control

0? 引? 言

隨著云計(jì)算、大數(shù)據(jù)、互聯(lián)網(wǎng)等技術(shù)的快速發(fā)展，越來越多的企業(yè)開始引入先進(jìn)的信化系統(tǒng)，提高了企業(yè)信息化管理水平和工作效率，對(duì)企業(yè)的發(fā)展具有重要的推動(dòng)作用。但是，新時(shí)期信息化研發(fā)單位面臨著錯(cuò)綜復(fù)雜的內(nèi)外部環(huán)境形勢(shì)變化，研發(fā)安全形勢(shì)愈發(fā)嚴(yán)峻。一方面，當(dāng)前信息系統(tǒng)安全風(fēng)險(xiǎn)和漏洞日益隱蔽和高?；?，新型攻擊方式快速衍變，強(qiáng)化本質(zhì)安全已成為各研發(fā)企業(yè)信息安全工作的重中之重。另一方面，“互聯(lián)網(wǎng)+新興業(yè)務(wù)”以及大數(shù)據(jù)、云計(jì)算、物聯(lián)網(wǎng)、移動(dòng)互聯(lián)網(wǎng)等新技術(shù)發(fā)展迅速帶來新的安全風(fēng)險(xiǎn)，給現(xiàn)有研發(fā)模式、組織職能、過程管控、研發(fā)安全等帶來了較大挑戰(zhàn)。如何進(jìn)一步優(yōu)化研發(fā)安全管理體系，確保研發(fā)安全，統(tǒng)籌協(xié)調(diào)研發(fā)資源，強(qiáng)化研發(fā)全過程管控，有效支撐信息化研發(fā)企業(yè)發(fā)展規(guī)劃成為研發(fā)單位當(dāng)前需要面對(duì)和解決的重要課題。

1? 研發(fā)現(xiàn)狀及問題

1.1? 研發(fā)組織模式較為松散，難以實(shí)現(xiàn)有效管理

（1）現(xiàn)有研發(fā)企業(yè)研發(fā)組織模式較為松散，不利于研發(fā)資源的統(tǒng)籌和管控。各研發(fā)項(xiàng)目組分布于多地，缺少組織協(xié)同，使研發(fā)過程管理難以標(biāo)準(zhǔn)化、規(guī)范化。

（2）部分單位的研發(fā)管理組織職能不健全，缺少相應(yīng)的安全專職人員，在研發(fā)過程中部分職能缺失。

1.2? 研發(fā)制度標(biāo)準(zhǔn)有待完善，落地執(zhí)行剛性不強(qiáng)

（1）部分制度標(biāo)準(zhǔn)內(nèi)容操作性不強(qiáng)。

（2）未梳理形成完整的研發(fā)工作流程清單，已有工作流程未清晰標(biāo)明關(guān)鍵節(jié)點(diǎn)的風(fēng)險(xiǎn)點(diǎn)和防護(hù)措施。

（3）制度標(biāo)準(zhǔn)執(zhí)行力度較弱，制度條款未落實(shí)到研發(fā)過程中，落實(shí)監(jiān)督機(jī)制還不完善。

1.3? 研發(fā)安全過程管控不到位

（1）安全要求未有效落地。由于絕大部分研發(fā)型企業(yè)長期重業(yè)務(wù)功能、輕網(wǎng)絡(luò)安全防護(hù)措施，以及重進(jìn)度、輕安全規(guī)范嚴(yán)肅履行，安全未嵌入研發(fā)流程。存在制度不完整、標(biāo)準(zhǔn)規(guī)范可操作性不強(qiáng)、安全需求描述不完整、設(shè)計(jì)不規(guī)范等問題。已有工作流程未清晰標(biāo)明關(guān)鍵節(jié)點(diǎn)潛在風(fēng)險(xiǎn)和防護(hù)措施，安全措施不落地。

（2）研發(fā)安全未全面覆蓋。重?cái)U(kuò)大規(guī)模，輕安全成長能力，業(yè)務(wù)規(guī)模日益擴(kuò)大、業(yè)務(wù)形式日益多樣，但與之相適應(yīng)的安全防護(hù)措施卻未能跟上?！按笤莆镆啤钡刃录夹g(shù)發(fā)展迅速，但與之相適應(yīng)的安全防護(hù)體系尚未建立，安全檢測(cè)標(biāo)準(zhǔn)與檢測(cè)手段還有待研究。

1.4? 信息技術(shù)支撐缺乏統(tǒng)籌

（1）技術(shù)支撐工具來源復(fù)雜，缺少統(tǒng)一規(guī)劃、管理。技術(shù)支撐工具除總部統(tǒng)一下發(fā)外，還包括自行采購或開發(fā)、互聯(lián)網(wǎng)下載等，存在安全隱患、知識(shí)產(chǎn)權(quán)等問題，亟須統(tǒng)一規(guī)劃技術(shù)支撐工具集。

（2）缺乏統(tǒng)一的項(xiàng)目管理系統(tǒng)、研發(fā)管理平臺(tái)，各研發(fā)單位自成體系、功能不統(tǒng)一。

1.5? 配套保障機(jī)制不健全，支撐力度不足

（1）研發(fā)工作場所在安全性、便利性、穩(wěn)定性等方面存在不足。

（2）服務(wù)器、存儲(chǔ)等硬件不同程度存在共享、混用等現(xiàn)象，配置不高且運(yùn)行年限偏長。

（3）部分研發(fā)單位缺乏獨(dú)立的研發(fā)網(wǎng)絡(luò)，主要依托屬地單位信息網(wǎng)絡(luò)，安全防護(hù)存在隱患。

（4）研發(fā)資金投入缺口較大，從各單位實(shí)際情況來看，研發(fā)投入占營業(yè)收入比例偏低，軟硬件配套保障難以有效支撐。

2? 信息化研發(fā)安全管理體系優(yōu)化設(shè)計(jì)

信息化研發(fā)安全管理體系框架主要包括：信息化研發(fā)組織職能、制度標(biāo)準(zhǔn)、研發(fā)全過程管控、評(píng)價(jià)考核、技術(shù)支撐、配套保障。如圖1所示。

2.1? 組織職能

未來信息化研發(fā)企業(yè)所有研發(fā)項(xiàng)目應(yīng)遵循統(tǒng)一的標(biāo)準(zhǔn)、制度、規(guī)范和流程，基于集中的基礎(chǔ)設(shè)施環(huán)境，采用統(tǒng)一的系統(tǒng)架構(gòu)和開發(fā)平臺(tái)，使用相同的研發(fā)過程管理系統(tǒng)和支撐工具，完善各級(jí)安全管理組織和崗位設(shè)置，研發(fā)人員持證上崗，研發(fā)過程受專門管控組織的監(jiān)督和審查。

2.2? 制度標(biāo)準(zhǔn)

制度體系在公司體系中承擔(dān)著承上啟下的作用，一方面要將公司的研發(fā)安全要求具體化、制度化，確保研發(fā)安全的實(shí)現(xiàn);另一方面要銜接具體研發(fā)工作，確保研發(fā)工作的規(guī)范和協(xié)調(diào)。

2.3? 研發(fā)過程管控

基于對(duì)業(yè)界先進(jìn)企業(yè)研發(fā)安全管理現(xiàn)狀存在的問題及面臨的挑戰(zhàn)的分析，結(jié)合調(diào)研企業(yè)領(lǐng)先實(shí)踐及經(jīng)驗(yàn)啟示，總結(jié)出系統(tǒng)研發(fā)管控工作在需求、設(shè)計(jì)、開發(fā)、測(cè)試、發(fā)布5個(gè)環(huán)節(jié)需要重點(diǎn)做好管控工作，以提升研發(fā)安全性。

2.3.1? 需求階段

（1）安全需求分析設(shè)計(jì)。強(qiáng)化網(wǎng)絡(luò)安全需求設(shè)計(jì)評(píng)審，新增業(yè)務(wù)邏輯需求設(shè)計(jì)和審核環(huán)節(jié)，業(yè)務(wù)邏輯安全需求分析。建議制定需求分析規(guī)范，在需求收集階段，業(yè)務(wù)部門應(yīng)從業(yè)務(wù)邏輯的角度提出安全需求，并對(duì)安全防護(hù)需求承擔(dān)業(yè)務(wù)風(fēng)險(xiǎn)責(zé)任。在進(jìn)行需求分析時(shí)，承建單位應(yīng)從系統(tǒng)實(shí)現(xiàn)的角度分析業(yè)務(wù)邏輯安全需求。

（2）需求變更管理。針對(duì)“需求不明確，需求變更頻繁”的問題，在研發(fā)管理系統(tǒng)中固化項(xiàng)目需求管理制度和需求變更流程，從技術(shù)層面將需求變更管理落地。成立需求變更管理委員會(huì)，委員會(huì)成員：甲方、乙方項(xiàng)目經(jīng)理、甲方代表、業(yè)務(wù)專家、架構(gòu)師、程序員。當(dāng)需求發(fā)生變更時(shí)，由乙方編寫需求變更申請(qǐng)單，申請(qǐng)變更委員會(huì)進(jìn)行評(píng)審。評(píng)審?fù)ㄟ^后確認(rèn)變更，修改對(duì)應(yīng)的概要設(shè)計(jì)、詳設(shè)文檔，變更進(jìn)度、成本計(jì)劃;不通過，則不變更。

2.3.2? 設(shè)計(jì)階段

（1）規(guī)范詳細(xì)設(shè)計(jì)。針對(duì)“詳細(xì)設(shè)計(jì)文檔無法指導(dǎo)開發(fā)”的問題，進(jìn)一步完善詳細(xì)文檔模板，明確各章節(jié)輸入/輸出、業(yè)務(wù)處理等編寫要點(diǎn)、顆粒度;另外在內(nèi)部測(cè)試、出廠測(cè)試環(huán)節(jié)，測(cè)試方案、測(cè)試用例嚴(yán)格針對(duì)詳細(xì)測(cè)試文檔進(jìn)行編寫，有效發(fā)現(xiàn)和杜絕詳細(xì)設(shè)計(jì)文檔和程序代碼“兩張皮”的問題。

（2）詳細(xì)設(shè)計(jì)評(píng)審。在項(xiàng)目組內(nèi)部設(shè)立詳細(xì)設(shè)計(jì)評(píng)審小組，公司核心項(xiàng)目在公司層面設(shè)立詳細(xì)設(shè)計(jì)評(píng)審委員會(huì)，對(duì)程序進(jìn)行詳細(xì)設(shè)計(jì)評(píng)審，特別是對(duì)代碼的非功能性需求實(shí)現(xiàn)（如程序執(zhí)行性能、安全性、集成接口質(zhì)量等）建立審查規(guī)范，有效提高代碼質(zhì)量。

2.3.3? 開發(fā)階段

（1）開發(fā)環(huán)境管理。根據(jù)安全方案評(píng)審結(jié)果，確定安全定級(jí)（紅、黃、綠）。確定公司等保四級(jí)及以上系統(tǒng)開發(fā)、內(nèi)部測(cè)試、出廠測(cè)試及第三方測(cè)試在紅區(qū)開展;等保三級(jí)及以下系統(tǒng)開發(fā)在黃區(qū)開展，內(nèi)部測(cè)試、出廠測(cè)試及第三方測(cè)試在綠區(qū)開展。

（2）代碼管理。利用公司統(tǒng)一開發(fā)云平臺(tái)的研發(fā)管理系統(tǒng)，對(duì)代碼進(jìn)行統(tǒng)一管理。按照安全定級(jí)（紅、黃、綠）嚴(yán)格限制編碼人員的訪問等級(jí);建立代碼簽名制，實(shí)現(xiàn)代碼編寫內(nèi)容及編寫人員可追溯;建立專人管理制度，專人專管。

（3）代碼審查。列出代碼審查清單，利用公司統(tǒng)一開發(fā)云平臺(tái)的各類代碼審查工具，對(duì)程序進(jìn)行代碼審查和代碼掃描，識(shí)別潛在問題，提高代碼安全質(zhì)量，輸出審查結(jié)果文檔。

（4）漏洞挖掘及修復(fù)。建立漏洞知識(shí)庫，在開發(fā)、測(cè)試、發(fā)布上線及運(yùn)行的過程中，研發(fā)單位、第三方測(cè)試單位、公司安全專項(xiàng)工作組在發(fā)現(xiàn)漏洞時(shí)，應(yīng)利用聯(lián)動(dòng)機(jī)制，上傳至漏洞知識(shí)庫并共享解決方案，各研發(fā)單位及時(shí)修復(fù)。制定漏洞挖掘及修復(fù)管理流程，明確漏洞發(fā)現(xiàn)獎(jiǎng)勵(lì)、修復(fù)流程等相關(guān)規(guī)定。

（5）需求、設(shè)計(jì)、開發(fā)一致性。在規(guī)范需求變更流程的基礎(chǔ)上，建議進(jìn)一步制定概要設(shè)計(jì)、詳細(xì)設(shè)計(jì)、開發(fā)構(gòu)建同步更新機(jī)制，確保需求變更、設(shè)計(jì)調(diào)整、開發(fā)落地一致性。

（6）內(nèi)部測(cè)試。明確內(nèi)部測(cè)試內(nèi)容、測(cè)試方法、測(cè)試記錄等文檔，通過公司統(tǒng)一開發(fā)平臺(tái)的研發(fā)管理系統(tǒng)進(jìn)行管理，避免內(nèi)部測(cè)試重業(yè)務(wù)實(shí)現(xiàn)、輕功能健壯等問題，確保內(nèi)部測(cè)試文檔完整、有效、有據(jù)可查。

2.3.4? 測(cè)試階段

（1）第三方測(cè)試。加強(qiáng)功能測(cè)試、性能測(cè)試、代碼掃描、滲透測(cè)試等，增強(qiáng)對(duì)業(yè)務(wù)邏輯存在的安全隱患的審查。組織業(yè)務(wù)、安全專家，分析系統(tǒng)業(yè)務(wù)邏輯，進(jìn)行業(yè)務(wù)邏輯安全測(cè)試。

（2）外購軟硬件測(cè)試。進(jìn)一步完善第三方軟件、硬件準(zhǔn)入測(cè)試管理規(guī)范，規(guī)范信息系統(tǒng)開發(fā)、測(cè)試環(huán)節(jié)準(zhǔn)入流程。

2.3.5? 發(fā)布階段

（1）統(tǒng)一發(fā)布管理。由研發(fā)單位安全質(zhì)量部門建立統(tǒng)一產(chǎn)品庫，包括過程文檔、源代碼、測(cè)試后的產(chǎn)品等，產(chǎn)品庫中產(chǎn)品必須擁有唯一標(biāo)簽，避免版本混亂。

（2）知識(shí)產(chǎn)權(quán)管理。制定集成類、研發(fā)類、實(shí)施類等各類項(xiàng)目知識(shí)產(chǎn)權(quán)歸檔、更新、領(lǐng)用管理規(guī)范，第三方測(cè)試通過后，由產(chǎn)品發(fā)布機(jī)構(gòu)統(tǒng)一進(jìn)行知識(shí)產(chǎn)權(quán)管理。

（3）開發(fā)權(quán)限收回。產(chǎn)品發(fā)布或者發(fā)布之前，開發(fā)者必須收回開發(fā)者權(quán)限，包括：超級(jí)用戶權(quán)限、遠(yuǎn)程登錄權(quán)限等。上線系統(tǒng)訪問必須接入統(tǒng)一權(quán)限，認(rèn)證通過后才能進(jìn)行相關(guān)操作;安全專項(xiàng)工作組定期獨(dú)立檢查發(fā)布產(chǎn)品、在運(yùn)系統(tǒng)，發(fā)現(xiàn)權(quán)限未收回，應(yīng)認(rèn)定其為安全事故，直接通報(bào)。

（4）測(cè)試、發(fā)布一致性：第三方測(cè)試機(jī)構(gòu)測(cè)試通過后，打水印確定唯一版本。無水印版本不能發(fā)布，防止版本混亂。

2.4? 評(píng)價(jià)考核

綜合匯總分析公司現(xiàn)行考核評(píng)價(jià)體系存在的問題，結(jié)合外部調(diào)研企業(yè)領(lǐng)先實(shí)踐及經(jīng)驗(yàn)啟示，公司系統(tǒng)研發(fā)安全評(píng)價(jià)考核體系從評(píng)價(jià)指標(biāo)、考核評(píng)價(jià)手段和工作機(jī)制三方面進(jìn)行完善提升。

2.5? 技術(shù)支撐

技術(shù)支撐是指為企業(yè)進(jìn)行信息化系統(tǒng)研發(fā)提供統(tǒng)一的開發(fā)平臺(tái)、測(cè)試平臺(tái)、統(tǒng)一的開發(fā)工具集以及統(tǒng)一的基礎(chǔ)設(shè)施。其中研發(fā)平臺(tái)是基礎(chǔ)類研發(fā)服務(wù)的合集，用于支撐各類業(yè)務(wù)應(yīng)用的快速構(gòu)建及交付;測(cè)試平臺(tái)提供統(tǒng)一的出廠測(cè)試、安全測(cè)試、性能測(cè)試、第三方測(cè)試服務(wù);研發(fā)工具提供支撐研發(fā)全過程的工具集，包括研發(fā)單位現(xiàn)有的研發(fā)工具和業(yè)界流行的研發(fā)工具，并進(jìn)行統(tǒng)一的管理;現(xiàn)有基礎(chǔ)設(shè)施能夠?qū)崿F(xiàn)基礎(chǔ)資源的快速靈活交付，解決系統(tǒng)上線部署周期長、平臺(tái)支撐業(yè)務(wù)負(fù)載變化能力弱等問題，推動(dòng)信息系統(tǒng)上線從申請(qǐng)?jiān)O(shè)備向申請(qǐng)服務(wù)能力轉(zhuǎn)變，IT基礎(chǔ)設(shè)施資源從按需配置向按需供應(yīng)轉(zhuǎn)變。

2.6? 配套保證

公司信息化研發(fā)安全管理在研發(fā)設(shè)施、人才隊(duì)伍、資金支持等配套保證方面優(yōu)化提升。

3? 結(jié)? 論

企業(yè)信息化系統(tǒng)研發(fā)是一個(gè)系統(tǒng)的、復(fù)雜的、動(dòng)態(tài)的管理過程，為了保證企業(yè)信息化研發(fā)水平，加強(qiáng)企業(yè)信息化系統(tǒng)的應(yīng)用性能，本文分析了當(dāng)前企業(yè)信息化研發(fā)安全管理體系應(yīng)用現(xiàn)狀及存在的問題，發(fā)現(xiàn)當(dāng)前企業(yè)信息化研發(fā)組織模式較為松散，難以進(jìn)行有效管理，研發(fā)制度標(biāo)準(zhǔn)有待完善，落地執(zhí)行剛性不強(qiáng)，研發(fā)安全過程管控不到位，信息技術(shù)支撐缺乏統(tǒng)籌，配套保障機(jī)制不健全，支撐力度不足。因此，本文提出優(yōu)化企業(yè)信息化研發(fā)安全管理體系的對(duì)策，從組織職能、制度標(biāo)準(zhǔn)、研發(fā)過程、評(píng)價(jià)考核、技術(shù)支撐、配套保證等六個(gè)方面加強(qiáng)研發(fā)安全管理，進(jìn)一步提升企業(yè)信息化系統(tǒng)的研發(fā)成效。

參考文獻(xiàn)：

[1] [美]惠特曼，馬托德.信息安全原理 [M].北京：清華大學(xué)出版社，2004.

[2] 李儀.研發(fā)能力持續(xù)成長路線圖：向華為學(xué)習(xí)研發(fā)管理，助推企業(yè)持續(xù)發(fā)展 [M].北京：電子工業(yè)出版社，2013.

作者簡介：曹洪雨（1976.07-），男，漢族，山東聊城人，中級(jí)職稱，研究生，研究方向：計(jì)算機(jī)應(yīng)用技術(shù)。