[Day26]ISO 27001 附录 A.14 系统获取、开发及维护

A.14 系统获取、开发及维护

A.14.1 资讯系统之安全要求事项

目标：确保资讯安全系跨越整个生命周期之整体资讯系统的一部分。此亦包括经由公共网路提供服务之资讯系统的要求事项。

A.14.1.1 资讯安全要求事项分析及规格

资讯安全相关要求事项，应纳入新资讯系统或既有资讯系统之强化的要求事项中。

• 必要性对资讯系统之安全基准要求、法规的要求、或是客户的要求，不管是新专案或旧专案，都应纳入软件安全开发流程中

A.14.1.2 保全公共网路之应用服务

应防范於公共网路上传送的应用服务中涉及之资讯，免於诈欺活动、契约争议及未经授权揭露与修改。

• 最常见的就是对外网站要绑加密传输(HTTPS)，或是其他的保护方式。

A.14.1.3 保护应用服务交易

应保护应用服务交易中涉及之资讯，以防止不完整传输、误选路(mis-routing)、未经授权之讯息修改、未经授权之揭露、未经授权之讯息复制或重演。

• 系统是有进行交易的部份，要能做必要性的安全保护，如一次性密码(OTP)、随机验证码(CAPTCHA)。

A.14.2 於开发及支援过程中之安全

目标：确保於资讯系统之开发生命周期内，设计及实作资讯安全。

A.14.2.1 保全开发政策

应建立软件及系统开发之规则，并应用至组织内之开发。

• 组织要有正式的软件开发流程的政策，并同时兼并资安要求

A.14.2.2 系统变更控制程序

应藉由使用正式之变更控制程序，以控制开发生命周期内之系统变更。

• 主要要看执行与流程要求是否一致，也需识别流程是否有问题，如：应用系统的变更管理、版控变更、套件更新

A.14.2.3 运作平台变更後，应用之技术审查

当运作平台变更时，应审查及测试营运之关键应用，以确保对组织运作或安全无不利冲击。

• 如果开发环境或是正式环境有重大变更，如：Windows 2008 升版 2016、Oracle 换 MS SQL，或是开发工具需要更新成大版，需要先进行测试与审查影响性。

A.14.2.4 软件套件变更之限制

应不鼓励修改软件套件，且仅限於必要变更，并应严格控制所有变更。

• 应不鼓励修改软件套件，但如客制也要以控掌控变更管理

A.14.2.5 保全系统工程原则

保全系统之工程原则，应予建立、文件化、维持及应用於所有资讯系统实作工作。

• 依开发政策(A.14.2.1)，内部也应该会有相关的执行原则，如：内部的开发手册、共用命名规则、机敏资讯的保护机制等等。

A.14.2.6 保全开发环境

对涵盖整个系统开发生命周期之系统开发及整合工作，组织应建立并适切保护安全开发环境。

• 保护开发环境的保护机制，以免影响到整个开发的品质与安全

A.14.2.7 委外开发

组织应监督及监视委外系统开发活动。

• 委外开发的专案监督，从合约、程序码交付、供应商的开发方式等相关的规范等等，与委外厂商有关的执行交付与监督活动，

A.14.2.8 系统安全测试

於开发中，应实施安全功能性之测试。

• 功能性或上版测试记录

A.14.2.9 系统验收测试

应建立新资讯系统、系统升级及新版本之验收测试计画及准则。

• 系统依计画进行验收的记录结果

A.14.3 测试资料

目标：确保测试用资料之保护。

A.14.3.1 测试资料之保护

应小心选择、保护及控制测试资料。

• 测试环境如同正式资料，则要进行保护，如同正式环境。
• 或是测试环境的资料有做过其他处理，如：去识别化，这要到测试资料库去看实际敏感资讯是否有保护

参考文献

国家标准(CNS)网路服务系统：https://www.cnsonline.com.tw/

恐怖游戏推荐：

暴雨杀机(Heavy Rain)

Steam：https://store.steampowered.com/app/960910/
你愿意为了救心爱的人付出多少？

体验充满无数转折的刺激心理惊悚剧情。沉寂了四天之久、留下诸多悬疑的摺纸杀人魔悄悄地展开猎杀，之所以被人称为「摺纸杀人魔」，是因其常在犯案现场留下用自己名片做的、代表死亡的摺纸动物。四位不同的角色都将追查各自的线索，都背负着各自的动机。您将主导四位角色们的每个行动，竭力阻止更多人惨遭杀人魔的毒手。

您必须迅速地思考，甚至更迅速地采取行动，您做出的每个选择都将导致戏剧性的结果，并改变游戏的进行——更会决定谁能存活……谁将死亡。

故事的结局完全操之在您手里。