軟件開發(fā)管理程序

.目的本文件規(guī)定了軟件開發(fā)建設過程的控制流程和要求。.范圍適用于公司相關信息系統(tǒng)的軟件開發(fā)以及對外軟件開發(fā)服務的安全管理。.定義（無）.權責IT部：負責公司相關信息系統(tǒng)的軟件開發(fā)以及對外軟件開發(fā)服務的安全管理。目前主要開發(fā)的有軟件有MES系統(tǒng)，QAD系統(tǒng)及部分0A系統(tǒng)模塊等.2智能技術部：負責公司相關產(chǎn)品系統(tǒng)的軟件開發(fā)以及對外軟件開發(fā)服務的安全管理。.3開發(fā)部：本文的開發(fā)部指是IT或者智能技術部5.作業(yè)內(nèi)容業(yè)務需求及可行性分析1.1需求部門提示開發(fā)申請：在0A系統(tǒng)中填寫“應用及報表開發(fā)（更改）申請表”，經(jīng)需求部門經(jīng)理批核后，IT部進行業(yè)務需求分析。1.2IT收到開發(fā)需求后，由業(yè)務分析人員到需求部門以及相關影響部門調(diào)查研究，收集原流程以及功能需求，召集各相關部門討論決定新流程及角色，編制開發(fā)需求文檔。1.3系統(tǒng)分析員根據(jù)開發(fā)需求文檔，進行系統(tǒng)開發(fā)設計，包括界面樣式，表單數(shù)據(jù)結構，以及實體類，接口，開發(fā)平臺，架構等。1.4開發(fā)主管根據(jù)業(yè)務項目安排，在內(nèi)部開發(fā)項目管理模塊中列入開發(fā)計劃，并指定開發(fā)員。1.5開發(fā)員接到業(yè)務需求文檔，以及開發(fā)設計文檔后，按項目管理模式，需要進行功能點整理，總結和規(guī)劃，并制訂行動計劃和工期規(guī)劃.經(jīng)審核后進行程序開發(fā)。成員訪問權限控制項目經(jīng)理根據(jù)項目成員不同的職責，及項目所處的開發(fā)階段，設置不同的訪問控制權限。系統(tǒng)控制3.1輸入數(shù)據(jù)的驗證1）開發(fā)產(chǎn)品中的應用系統(tǒng)的數(shù)據(jù)驗證，可參照以下方式選擇性地進行：輸入校驗，諸如邊界校驗或者限制特定輸入數(shù)據(jù)范圍的域，以檢測下列錯誤，范圍之外的值：數(shù)據(jù)字段中的無效字符；丟失或不完整的數(shù)據(jù)；超過數(shù)據(jù)的上下容量限制；未授權的或矛盾的控制數(shù)據(jù)；業(yè)務流程、系統(tǒng)安全運行、法規(guī)政策等方面所要求的數(shù)據(jù)校驗；2）定期評審關鍵字段或數(shù)據(jù)文件的內(nèi)容，以證實其有效性和完整性；3）檢查硬拷貝輸入文檔是否有任何未授權的變更（輸入文檔的所有變更均應予以授權）；4）對輸入數(shù)據(jù)驗證錯誤后的處理程序；5）測試輸入數(shù)據(jù)合理性的程序；6）定義在數(shù)據(jù)輸入過程中所涉及的全部人員的職責。7）創(chuàng)建在數(shù)據(jù)輸入過程中所涉及的活動的日志。5.3.2內(nèi)部數(shù)據(jù)控制1）應用系統(tǒng)的設計與實現(xiàn)應盡量減少處理故障時對數(shù)據(jù)完整性的損壞。需要考慮下列（但不僅限于）內(nèi)容：通過添加、修改和刪除功能實現(xiàn)數(shù)據(jù)變更；防止程序以錯誤次序運行；使用適當?shù)某绦蚧謴凸收希源_保數(shù)據(jù)的正確處理；防范利用緩沖區(qū)超出/溢出進行的攻擊。2）應準備適當?shù)臋z查列表，將檢查活動文檔化，并應保證檢查結果的安全。需要考慮下列（但不僅限于）2.1）驗證系統(tǒng)生成的輸入數(shù)據(jù)；2）檢查在中央計算機和遠程計算機之間所下載或上載的數(shù)據(jù)或軟件的完整性、真實性或者其他任何安全特性；記錄文件字節(jié)大小；檢查以確保應用程序在正確時刻運行；檢查以確保程序以正確的次序運行并且在發(fā)生故障時終止，以及在問題解決之前，停止進一步的處理；創(chuàng)建處理時所涉及的活動的日志。3.3輸出數(shù)據(jù)控制應用系統(tǒng)輸出的數(shù)據(jù)應加以驗證，以確保對所存儲信息的處理是正確的且適于當前運行環(huán)境的。輸出數(shù)據(jù)的驗證可參考但不限于以下內(nèi)容：1）合理性檢查，以測試輸出數(shù)據(jù)是否合理；2）調(diào)節(jié)控制措施的數(shù)量，以確保處理所有數(shù)據(jù)；3）為讀者或后續(xù)的處理系統(tǒng)提供足夠的信息，以確定信息的準確性、完備性、精確性和分類；4）對輸出數(shù)據(jù)驗證結果進行處理程序；5）定義在數(shù)據(jù)輸出過程中所涉及的全部人員的職責。6）創(chuàng)建在數(shù)據(jù)輸出驗證過程中活動的日志。3.4系統(tǒng)測試數(shù)據(jù)的保護應避免使用包含個人信息或其它敏感信息的運行數(shù)據(jù)庫用于測試。如果測試使用了個人或其他敏感信息,那么在使用之前應去除或修改所有的敏感細節(jié)和內(nèi)容。當用于測試時，應使用下列（但不僅限于）指南保護運行數(shù)據(jù)：1）應用于運行應用系統(tǒng)的訪問控制程序，還應用于測試應用系統(tǒng)；2）運行信息每次被拷貝到測試應用系統(tǒng)時應有獨立的授權；3）在測試完成之后，應立即從測試應用系統(tǒng)清除運行信息；4）應記錄運行信息的拷貝和使用日志以提供審核蹤跡。5.4系統(tǒng)驗收和上線運行開發(fā)員經(jīng)自測和交叉測試后，提交程序到測試目錄，由測試員進行發(fā)布前測試。5.4.2開發(fā)系統(tǒng)完成測試后，送往客戶的驗收部門進行安裝。打包的系統(tǒng)信息須開發(fā)部經(jīng)理確認信息無誤后，方可存入移動存儲介質。用畢后應立即進行刪除。5.4.3從試運行開發(fā)三個月內(nèi)，派專人修改實際數(shù)據(jù)的運行狀態(tài)下發(fā)現(xiàn)的問題。若在三個月內(nèi)，都沒有提出其他整改意見，則該軟件進入正