變更控制程序IT審計(jì)培訓(xùn)-IntosaiCommunityPortal課件

IT安全

第8節(jié)系統(tǒng)開發(fā)和維護(hù)IT安全

介紹系統(tǒng)的安全需求應(yīng)用系統(tǒng)的安全加密控制系統(tǒng)文件的安全開發(fā)和支持流程的安全介紹系統(tǒng)的安全需求系統(tǒng)的安全需求在初始系統(tǒng)設(shè)計(jì)時(shí)就考慮系統(tǒng)的安全，比事后將它們整合在一起，要便宜很多倍應(yīng)說明系統(tǒng)的需求,包括自動(dòng)控制以及所需的人工控制。系統(tǒng)的安全需求在初始系統(tǒng)設(shè)計(jì)時(shí)就考慮系統(tǒng)的安全，比事后將它們應(yīng)用系統(tǒng)的安全預(yù)防應(yīng)用系統(tǒng)數(shù)據(jù)的損失、篡改和濫用包括輸入、處理和輸出控制在IT控制模塊中有深入討論應(yīng)用系統(tǒng)的安全預(yù)防應(yīng)用系統(tǒng)數(shù)據(jù)的損失、篡改和濫用加密控制保護(hù)信息的機(jī)密性、完整性和可用性。包含以下控制：加密控制的使用政策加密數(shù)字簽名服務(wù)的不可抵賴性密鑰管理見‘第10講–加密控制’加密控制保護(hù)信息的機(jī)密性、完整性和可用性。系統(tǒng)文件的安全為確保系統(tǒng)項(xiàng)目和支持活動(dòng)的安全進(jìn)行密鑰控制是：應(yīng)用軟件的控制系統(tǒng)測(cè)試數(shù)據(jù)的保護(hù)程序源庫的訪問控制系統(tǒng)文件的安全為確保系統(tǒng)項(xiàng)目和支持活動(dòng)的安全進(jìn)行操作軟件的控制生產(chǎn)系統(tǒng)軟件執(zhí)行的控制程序控制包括程序庫由授權(quán)人員進(jìn)行更新生產(chǎn)系統(tǒng)只有可執(zhí)行代碼在投入運(yùn)行之前，成功測(cè)試可執(zhí)行代碼更新程序的審計(jì)記錄軟件以前版本的保留對(duì)供應(yīng)商軟件的控制操作軟件的控制生產(chǎn)系統(tǒng)軟件執(zhí)行的控制程序系統(tǒng)測(cè)試數(shù)據(jù)的保護(hù)以保護(hù)和控制系統(tǒng)數(shù)據(jù)控制包括:訪問控制程序獨(dú)立授權(quán)數(shù)據(jù)庫隱私的處理測(cè)試后數(shù)據(jù)的刪除測(cè)試的記錄系統(tǒng)測(cè)試數(shù)據(jù)的保護(hù)以保護(hù)和控制系統(tǒng)數(shù)據(jù)程序庫的訪問控制保護(hù)對(duì)程序源庫的嚴(yán)格控制控制包括:遠(yuǎn)離生產(chǎn)系統(tǒng)任命一名程序管理人員IT支持人員訪問的限制在開發(fā)或維護(hù)時(shí)，不保留程序程序庫的訪問控制保護(hù)對(duì)程序源庫的嚴(yán)格控制程序庫的訪問控制控制包括:更新僅由指定人員進(jìn)行程序列表的安全存放程序庫訪問的審計(jì)記錄獲得源程序的舊版本對(duì)程序源庫維護(hù)和復(fù)制的變更控制程序庫的訪問控制控制包括:開發(fā)和支持過程的安全為維護(hù)應(yīng)用系統(tǒng)軟件和信息的安全控制包括：:變更控制程序生產(chǎn)系統(tǒng)變更的控制程序限制對(duì)軟件包的變更對(duì)隱蔽通道和木馬代碼的控制外包軟件的開發(fā)開發(fā)和支持過程的安全為維護(hù)應(yīng)用系統(tǒng)軟件和信息的安全變更控制程序運(yùn)用正式的變更控制程序，嚴(yán)格控制變更的實(shí)施隱藏控制以確保對(duì)系統(tǒng)配置的所有變更是經(jīng)過授權(quán)、測(cè)試、記錄、控制，并且有充分的變更審計(jì)軌跡見IT控制模塊的“變更控制程序”變更控制程序運(yùn)用正式的變更控制程序，嚴(yán)格控制變更的實(shí)施生產(chǎn)系統(tǒng)變更的技術(shù)檢查檢查應(yīng)用控制和完整性程序是否進(jìn)行了折衷確保年度計(jì)劃涵蓋對(duì)生產(chǎn)系統(tǒng)變更的測(cè)試及時(shí)通告生產(chǎn)系統(tǒng)的變更確保對(duì)業(yè)務(wù)持續(xù)計(jì)劃的適當(dāng)變更生產(chǎn)系統(tǒng)變更的技術(shù)檢查檢查應(yīng)用控制和完整性程序是否進(jìn)行了折衷軟件變更的嚴(yán)格控制不鼓勵(lì)對(duì)使用的供應(yīng)商軟件包進(jìn)行變更僅對(duì)副本進(jìn)行變更變更之前，檢查是否有內(nèi)部控制的補(bǔ)償是否征得賣方的同意是否能從賣方那里獲得所需的變更對(duì)未來維護(hù)的影響軟件變更的嚴(yán)格控制不鼓勵(lì)對(duì)使用的供應(yīng)商軟件包進(jìn)行變更隱蔽通道和特洛伊代碼

僅通過可靠的渠道購買軟件源代碼一同購買使用經(jīng)評(píng)估的產(chǎn)品使用之前檢查源代碼控制對(duì)代碼修改的過程使用有信譽(yù)的員工隱蔽通道和特洛伊代碼僅通過可靠的渠道購買軟件外包軟件開發(fā)許可證、代碼所有權(quán)工作質(zhì)量的認(rèn)證僅通過可靠的渠道購買軟件代碼的質(zhì)量特洛伊代碼的測(cè)試外包軟件開發(fā)許可證、代碼所有權(quán)總結(jié)在新系統(tǒng)中植入安全應(yīng)用系統(tǒng)的安全—輸入、處理和輸出控制加密控制–