安全軟體發展流程簡介資訊室

按讚加入E河川-交流水知識粉絲團 

  發刊期數:第0297期/ 發布日期:2018/09/21

SSDLC之重點活動_pic

  傳統軟體發展生命週期SDLC (Software Development Life Cycle)是一套資訊系統發展順序,將系統發展分為需求、設計、開發、測試、部署及維運幾個階段,其重點為在期限內完成符合需求功能之資訊系統,過程中以功能導向貫穿整個週期,對於系統應有或特別之資訊安全要求缺乏考量,通常系統於上線後才被動式加以補強,其產生之成本高,風險也大。

  針對傳統軟體發展生命週期之缺點,於是提出安全軟體發展流程SSDLC(Security System Development Life Cycle)架構,將資訊系統安全思維嵌入系發展生命週期各階段,於各階段執行各項必要的安全活動,把資安視為功能性需求,雖拉長各階段時程,卻可大大降低後續系統因應系統安全需付出之維護成本,及避免可能因遭受資安攻擊所帶來之損失。

  依據國家資通安全科技中心建議,SSDLC之重點活動包含需求階段之安全需求萃取與追蹤、設計階段之威脅建模、建置階段之控制措施發展與常見弱點避免、測試階段之源碼檢測與弱點掃瞄、維護階段之組態強化與元件更新等,各階段亦訂定相關參考指引,如安全設計指引、安全軟體測試指引、web應用程式安全指引、資訊系統委外開發RFP資安需求範本等,機關可以據以為實施SSDLC之參考,提昇資訊系統之安全性。

主題回應