>软件>杀毒软件>中小型商业银行的软件安全测试之道 免费发布杀毒软件信息
广告
热门浏览

中小型商业银行的软件安全测试之道

更新时间:2017-10-19 10:18:31 信息编号:134952212
  • 面议

  • 其它

  • windows2000

  • 信息安全

江苏国骏

18796212074 0516-83887908

2624285730

分享

详情介绍

商品别名
数据应用安全
面向地区
品牌
其它
系统平台要求
windows2000
售后服务
全国联保
发票
提供发票

中小型商业银行的软件安全测试之道

随着移动应用、互联网+时代的到来,几乎每个银行的都已经把主要的业务搬到互联网和移动互联网上来。随之而给带来了两个重大的趋势:
一方面,软件外包开发的繁荣起来,银行除了要提供网上银行,电话银行的业务,还要提供手机银行,银行APP, 网络支付、各类投资和理财业务APP等等。越来越多的银行业务需要更全面、功能更多、更强大的软件应用系统来支撑,这着实给本来就“压力山大”商业银行科技部(软件开发处)带来了不小的挑战。
另一个方面,信息安全、个人隐私受到了越来越大的威胁。网络安全事件,个人隐私泄露,网络站点被黑等等事件几乎天天可以看到。所以国家在今年6月1日及时地颁布了《网络安全法》,希望从法律层面,给社会各界提供有力的依据,公同保护互联网安全环境。
其中,现在网络安全攻击事件不断频发的一个主要原因,就是大量定制化外包开发出来的软件应用系统的源代码中都存在着各种各样的安全漏洞,极易受到黑客攻击。这一点,我们可以从国内多家安全漏洞曝光平台上可以看出(国内主要的曝光平台有,360公司补天、漏洞盒子等),几乎各行各业的网站系统都会存在安全漏洞。其中不乏大型国企、央企、大中型商业银行、高校和科研单位等等。

2016年网络安全事件与源代码安全漏洞
面对上述严峻的网络安全形势,作为关系到国计民生、和老百姓的“钱”息息相关的商业银行,不能再仅靠传统的几大件网络安全防护设备来解决问题。
正如上文所说,目前所面临的安全问题都是我们自主研发或者外包开发出来的定制化软件系统存在安全漏洞而导致的。而目前我国的绝大多数商业银行的软件系统开发是外包开发为主,由银行内所设置的科技部和信息系统部来管理。行方人员为数较少,常常都是一人身兼数职,同时也没有相对的软件安全管理人员。
针对中小型商业银行的软件开发特色,我们如果还是大谈如何在商业银行内部建立完整的SDLC安全开发生命周期来软件的安全性就显得非常的不且实际。今天,我们就来聊一聊大部分为外包开发模式的商业银行,用什么方法来保障自己所定制开发的软件系统、WEB站点以及移动APP等应用系统的源代码的安全性。
对于商业银行而言,自身不具备(也不必要具备)软件安全开发能力,不需要拥有很高的源代码安全开发水平。但对于自己的业务系统的安全性,商业银行是负责人,具备软件系统安全的检测和保障能力,否则一旦应用系统被攻击,触犯《网络安全法》的可是银行自己,要个被追责。所以,各个商业银行都应该在如何软件的源代码安全漏洞问题上下一番功夫,确保自身业务系统上线后的安全性、稳定性。
那么如何在外包开发模式下有效地对软件应用系统进行安全保障呢?换句话说,如何在“只有一个行方的开发项目经理,且方经理身兼多个项目”的情况下,又确保源代码是安全的?
根据我个人多年经验的总结,并结合外包管理的一些方法,我认为,在软件外包管理中引入软件源代码安全测试体系,建立强制性的源代码“安全验收”机制是有效、方便的手段。它可以从源代码层面上软件系统的安全性。这个“安全验收”机制如何建立才能即满足甲方安全保障的需要,又能让外包开发服务商积极地配合安全漏洞的检测和修复工作呢? 我们将其总结为一个“GATE+” 源代码安全测试管理模式,具体说明如下图所示:
“GATE+”安全测试管理模式
“GATE+”安全测试管理模式
如上图所示,“GATE+”模式的主要思想就是,在外包开发管理中引入软件源代码的安全测试体系,对外包服务商所交付的软件系统的源代码进行安全性验收测试。如果交付的源代码存在易被攻击的安全漏洞,需要外包商进行安全修复,直至这些漏洞全部被消除,这个系统才能够验收,进行上线部署。该模式的几个关键点说明如下:
1. 行方制定并发布明确的《软件源代码安全测试验收标准》
由行方安全部门和开发项目经理联合的软件安全咨询顾问共同制定出明确的,符合甲方安全要求的《软件源代码安全测试验收标准》,并由行方部门正式发布,即上图中的“红线”。这是源代码安全验收时遵守的,也是后的一道防线,由“行方开发项目经理”对标红线的进行各个项目的安全检查和验收。
与之相对应的是外包开发过程中的一个“虚黄线”。该虚黄线的意思是开发商可以在项目开发初期就明确地让开发人员知道将来的源代码验收标准,开发人员就可以提前预防,提前做好技术上的规避方案。这样一来,外包商和开发人员就会更加积极主动的配合安全漏洞的检查和修复工作。
2. 建立一个方便、的软件源代码安全测试管理平台
可能有安全管理人员会觉得源代码安全测试,直接找的第三方安全测试机构或者安全公司进行测试服务就可以了,不必要由行方自建源代码安全管理平台。
但根据经验,由甲方自建安全测试管理平台是非常有必要的。这是因为,如果把验收测试交由第三方来测试时,那势必安全测试只能在项目验收时进行一次到两次的测试。测试频度太低,时间后置,这样只能会造成“仓促地”测试和验收,外包人员“极不情愿地”配合和“应付式”修复漏洞的局面。一旦形成这样的情况,那上面行方项目经理的“安全验收”工作就会越来越难开展,也无法质量,慢慢地就只是留于“形势”了。
这一点,我们已经看到很多的商业银行就是这样的情况。所以,由甲方自建一个软件源代码安全测试管理平台,提供两种测试并行的方法才能把“安全测试标准”有效地执行下去。目前国内自主可控的源代码安全测试管理平台并不多,思客云公司找八哥云管理系统是个不错的选择。
3. “强制式”测试与“自助式”测试并行
为了避免上述的问题,在自建安全测试管理平台的基础上,我们提出了一个“强制式”测试与“自助式”测试并行的方案。
如上图中所示,验收式测试 +“蓝虚框”的外包自助式测试。其中验收式测试由甲方的项目管理人员完成。这是强制式的,每一个项目在交付前都要进行一次强制式验收测试。
同时,在开发过程中,允许外包商开发人员可以在开发过程中不定期的对源代码进行自助式的安全测试,这样可以让外包人员及时地检测出安全问题及时地修复漏洞。外包商就可以对强制验收式测试没有那么抵触,更加积极配合,安全测试工作就会更加的顺畅。同时也不会因为安全测试影响项目验收进度,影响交付和发布了。
软件源代码安全验收测试,一个简单又的软件安全保障手段,虽然已经提出多年,但是如果没有一个有效的模式为基础,则只会让商业银行,外包商,开发人员,安全人员和项目管理人员徒增烦恼。思客云找八哥系统以提供佳“源代码安全测试”整体解决方案为己任,希望能够给您提供必要的帮助!
转载自:
江苏国骏信息科技有限公司在信息网络安全、运维平台建设、动漫设计、软件研发、数据中心领域具备十多年的行业沉淀。公司遵循信息安全整体性的IATF模型,从“人员素养”、“制度流程”、“技术产品”三个视角提供全面、可信的方案,业务涵盖咨询、评估、规划、管控、建设、培训等。

江苏国骏信息科技有限公司 11年

  • 网络安全,杀毒软件,防火墙,桌面管理
  • 徐州市解放南路矿业大学科技园徐州科创软件园内A101、129、131室

———— 认证资质 ————

没有个人认证
企业认证已通过
天眼查已核实
没有手机认证
没有微信认证

最近来访记录

  • 北京朝阳网友用iPhone手机一个月前在百度APP访问了本页

相关推荐产品

留言板

  • 数据应用安全信息安全
  • 价格商品详情商品参数其它
  • 提交留言即代表同意更多商家联系我
江苏国骏信息科技有限公司为你提供的“中小型商业银行的软件安全测试之道”详细介绍,包括信息安全价格、型号、图片、厂家等信息。如有需要,请拨打电话:18796212074。不是你想要的产品?点击发布采购需求,让供应商主动联系你。
“中小型商业银行的软件安全测试之道”信息由发布人自行提供,其真实性、合法性由发布人负责。交易汇款需谨慎,请注意调查核实。