【法规名称】
【颁布部门】 中国证券监督管理委员会
【发文字号】 中国证券监督管理委员会公告[2011]39号
【颁布时间】 2011-12-22
【实施时间】 2011-12-22
【效力属性】 有效
【法规编号】 576393 什么是编号？
【正 文】
第58页 中国证券监督管理委员会公告(2011)39号――证券期货业信息系统安全等级保护测评要求(试行)
|
[接上页] b）应访谈系统建设负责人，询问软件设计相关文档是否由专人负责保管，负责人是何人，如何控制使用，测试数据和测试结果是否受到控制； c）应访谈系统建设负责人，询问开发人员有哪些人，是否是专职人员，询问对开发人员的开发活动采取哪些控制措施，是否有专门的监控、审查措施； d）应访谈软件开发人员，询问其是否了解软件开发管理制度，是否了解代码编写安全规范，是否按照代码编写安全规范进行软件开发； e）应检查软件开发管理制度，查看文件是否明确软件设计、开发、测试、验收过程的控制方法和人员行为准则，是否明确哪些开发活动应经过授权、审批； f）应检查代码编写安全规范，查看规范中是否明确代码编写规则，应抽样部分源代码，检查是否按照代码编写安全规范开发； g）应检查对程序资源库的修改、更新、发布进行授权和审批的文档或记录，查看是否有批准人的签字； h）应检查是否具有软件开发相关文档（源代码、测试数据、测试结果等）的使用控制记录； i）应检查是否具有软件使用指南或操作手册等； j）应检查网络拓扑图和实际开发环境，查看是否实际运行环境和开发环境有效隔离； k）应检查是否具有对开发人员的审查记录，查看审查记录是否记录审查结果等。 8.2.4.4.3 结果判定 如果8.2.4.4.2 a）-k）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 8.2.4.5 外包软件开发 8.2.4.5.1 测评指标 见jr/t 0060-2010 8.2.4.5。 8.2.4.5.2 测评实施 本项要求包括： a） 应访谈系统建设负责人，询问软件交付前是否依据开发要求的技术指标对软件功能和性能等进行验收测试，软件安装之前是否检测软件中的恶意代码； b） 应访谈系统建设负责人，是否要求开发单位提供源代码，是否根据源代码对软件中可能存在的后门和隐蔽信道进行审查； c） 应检查是否具有软件开发的相关文档，如需求分析说明书、软件设计说明书等，是否具有软件操作手册或使用指南。 d） 应检查部分软件源代码，查看是否具有源代码，应检查软件源代码审查记录，查看是否包括对可能存在后门和隐蔽信道的审查结果。 8.2.4.5.3 结果判定 如果8.2.4.5.2 a）-d）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 8.2.4.6 工程实施 8.2.4.6.1 测评指标 见jr/t 0060-2010 8.2.4.6。 8.2.4.6.2 测评实施 本项要求包括： a） 应访谈系统建设负责人，询问是否指定专门部门或人员对工程实施过程进行进度和质量控制，由何部门/何人负责； b） 应访谈系统建设负责人，询问是否要求工程实施单位提供其能够实施安全工程的资质证明和能力保证； c） 应访谈系统建设负责人，询问是否由第三方工程监理单位对工程实施过程进行进度和质量控制； d） 应检查系统建设方面的管理制度，查看其是否包括工程实施过程的控制方法、实施参与人员的行为准则等方面内容； e） 应检查工程实施方案，查看其是否包括工程时间限制、进度控制和质量控制等方面内容，是否按照工程实施方面的管理制度进行各类控制、产生阶段性文档等； f） 应检查是否具有第三方工程监理单位出具的工程监理报告。 8.2.4.6.3 结果判定 如果8.2.4.6.2 a）-f）均为肯定，则信息系统符合本单元测评指标要求，否则，信息系统不符合或部分符合本单元测评指标要求。 8.2.4.7 测试验收 8.2.4.7.1 测评指标 见jr/t 0060-2010 8.2.4.7。 8.2.4.7.2 测评实施 本项要求包括： a） 应访谈系统建设负责人，询问是否有专门的部门负责测试验收工作，由何部门负责；是否委托第三方测试机构对信息系统进行独立的安全性测试； b） 应访谈系统建设负责人，询问是否根据设计方案或合同要求组织相关部门和人员制定工程测试验收方案，并对系统测试验收报告进行审定； c） 应检查系统建设方面的管理制度，查看其是否包括对系统测试验收的控制方法和人员行为准则规定； d） 应检查是否具有工程测试验收方案，查看其是否明确说明参与测试的部门、人员、测试验收内容、现场操作过程等内容，过程控制是否符合管理规定的要求； e） 应检查是否具有系统测试验收报告，是否有相关部门和人员对系统测试验收报告进行审定的意见，是否有第三方测试机构的签字或盖章。 |
- 此法规有错误，我来纠正。请点击在此 提交错误内容或者您纠正的内容！