項目研發安全管理模式探索

殷樹剛 馬宗超 劉鋒 張津銘 南淑君

隨著企業業務應用的不斷拓展、信息化程度的不斷提高，企業的生產經營活動對信息系統和網絡的依賴程度越來越高，然而軟件和互聯網技術的高速發展也帶來了新的威脅，病毒和黑客攻擊層出不窮，零日漏洞和后門事件頻繁發生，直接影響企業的正常生產經營和業務運作。特別是對于作為關系國家能源安全和國民經濟命脈的國家電網公司而言，系統安全至關重要，這就要求信息系統研發單位應加強項目研發過程中的安全管控，盡可能地減少系統出廠缺陷和漏洞，提高系統的安全性和穩定性。

從源頭解決安全隱患

微軟等公司的研究和經驗表明，在應用系統發布后發現漏洞的成本是開發期間的30倍。因此，要實現信息系統的安全開發，最有效的方法就是減少在系統開發期間的編碼錯誤數量，并盡早發現在系統開發生命周期出現的問題。越早發現項目研發安全反饋信息，越有利于項目以更低成本修復。與其依賴于項目后期的出廠安全測試，不如在整個項目開發全過程中的各環節引入安全實踐，如在分析業務需求的同時主動進行威脅建模，分析安全需求；在系統功能架構設計時主動進行安全防護架構設計；在系統實現過程中引入代碼安全檢查機制，及時檢查代碼缺陷，通過這些手段，項目研發人員可以盡早地發現和解決系統安全問題，而不必依賴于通過最終的出廠安全測試才能知道安全問題。

為了盡可能減少系統出廠時的編碼低級錯誤和系統漏洞，提高系統可用性和安全性，國網信息通信產業集團有限公司（下稱“信通產業集團”）嘗試在項目管理整個生命周期提前介入安全管理，組織集團各下屬研發單位從安全組織措施和安全技術措施兩方面開展項目過程研發安全管控工作，通過多種管理措施，從源頭上盡早、盡快、持續地發現并解決系統安全問題。

加強組織管理

信通產業集團下屬各單位結合自身項目特點，建立健全項目過程中研發安全管理機制，明確研發安全管理組織架構，常態開展研發安全檢查。

明確項目過程研發安全管理要求

為保證項目過程研發安全管控工作有據可依，集團下屬各單位需參照《中華人民共和國網絡安全法》《國網信通部關于印發2016年公司信息系統研發安全工作要求的通知》（信通技術[2016]41號）《國網信息通信產業集團有限公司研發安全管理辦法》（信通集團安質[2016]138號），結合集團下屬各單位研發安全管控現狀和自身項目特點，明確各自項目過程研發安全管理要求，建立健全本單位關于項目過程研發安全管控的制度流程，據此開展本單位項目過程研發安全管控工作。管理要求應明確、具體、可操作，如各單位所承建信息系統開發項目中的所有開發人員，均需簽訂網絡安全及保密承諾書，對網絡使用、數據共享等行為進行約束；明確開發人員的訪問權限，做好人員權限記錄，及時變更或清理離職人員賬號，并保留相關記錄等。

健全項目過程研發安全管控的組織機構

為確保項目研發安全，研發單位首先需健全項目研發安全管理組織機構，明確各級管理組織的職責要求，強化責任主體意識對項目安全管理的重要性，在項目研發過程中要求各責任主體各負其責、各司其職、密切協作，共同提高項目研發安全管理水平，避免系統出現低級缺陷或致命安全問題。

整個研發過程安全管理組織架構分安全開發決策層、安全開發管理層和安全開發執行層三個層級。其中，安全開發決策層的研發中心分管領導對安全開發負最終責任，負責推動研發中心安全工作，并對安全開發相關重大事宜進行決策、總體組織/協調、安全開發資源分配、安全開發整體監督和考核。

各單位所承建項目的項目經理應為該項目研發安全的第一責任人，對研發中心分管領導負責。項目經理負責總體協調項目過程研發安全管控工作。各單位所承建項目應明確一名項目研發安全專責（可兼職），研發安全專責負責本項目過程研發安全管理工作的具體執行，監督研發人員執行研發安全相關制度。

落實項目兩級研發安全檢查機制

為了保證研發安全相關要求和制度能夠落地，加強項目過程研發安全管控，信通產業集團建立了各下屬單位自查和集團本部抽查的兩級安全檢查機制，從組織管理和技術管理兩個維度，設置研發安全管理制度、研發安全培訓教育、研發人員安全管理、開發安全測試、開發環境安全、代碼安全管理等幾個檢查項，對各單位研發安全工作開展情況及重點項目研發安全管控進行檢查。即各單位應按照研發安全檢查項常態開展本單位的項目過程研發安全管理自查，檢查結果按季度上報集團項目管理中心。信通產業集團不定期組織開展項目過程研發安全管理抽查，對抽查結果進行通報并納入考核。

提升安全技術水平

為了從技術上保證項目過程中的研發安全，應從整個項目全生命周期的各個階段引入安全管理：項目規劃階段明確安全需求；項目設計階段應充分考慮數據傳輸、處理、存儲等各個過程中的安全要求，并對系統應用進行安全控制、設計等。信通產業集團特別針對項目設計、開發和測試三個階段加強了研發安全管理，進一步提升項目安全防護方案質量、開發人員編碼規范性和系統出廠安全測試通過率。

開展項目安全防護方案審查

在項目概要設計結束以后，根據系統定級編制相應的項目安全防護方案，并組織單位內部專家開展內部審查（即同行檢查），以提高安全防范方案質量。對通過內部審查的項目，信通產業集團抽取滿足條件的重點項目，邀請外部專家進行集中審查這些重點項目的安全防護方案（即專家審查），以協助下屬各單位提升項目安全防護方案的質量和第三方評審通過率，對未通過第三方評審的項目進行通報并納入考核。

加強開發環境安全管理

各單位按照信通產業集團相關要求加強對開發環境的安全管理，落實安全編碼規范，提升代碼安全性和規范性，具體技術措施如下：

（1）開發環境及測試環境必須與實際運行環境及辦公環境安全隔離，嚴禁將開發環境擅自連接互聯網。

（2）開發終端應專機專用，并針對不同的開發人員設置登陸密碼和使用權限。

（3）開發工具原則上采用國家電網公司統一開發平臺（SG-UAP）進行開發，如必須引入開源組件或第三方平臺則需通過安全測評方可使用。

（4）設置專門的代碼服務器并進行安全防護和訪問權限設置。

除此之外，通過多年軟件開發項目經驗，信通產業集團總結編制公司統一編碼規范，并要求各單位研發人員應嚴格按照安全編碼規范進行編碼，建立代碼簽名制，實現代碼可追溯。

完善安全測試閉環管理機制

以安全測試為重要抓手，建立安全測試閉環管理，開展項目過程中代碼安全檢測，持續跟蹤代碼缺陷，直至完成缺陷整改驗證，避免系統出現常見低級錯誤，如SQL注入、程序后門等。對多次測試未通過的代碼或系統追究相關編碼人員和負責人的安全責任，對其進行通報并納入考核，以提升系統安全可靠性。

綜上所述，通過建立以管理手段為抓手、以技術手段為支撐的項目安全管理體系，信通產業集團在項目全生命周期的各個階段中實施研發過程安全管理，確保安全需求在項目中充分實施，滿足集團整體安全策略的要求。