T/HMSJRXH 001-2023 哈密市法人银行业金融机构软件开发安全需求规范

ICS35.080

L67

团体标准

T/HMSJRXH001—2023

哈密市法人银行业金融机构软件开发安全

需求规范

HamiCityLegalPersonBankingFinancialInstitutionsSoftware

DevelopmentSecurityRequirementsSpecification

2023-11-20发布2023-11-20实施

哈密市金融学会发布

T/HMSJRXH001—2023

目次

前  言...............................................................................................................................................................Ⅱ

引  言...............................................................................................................................................................Ⅳ

1范围.....................................................................................................................................................................1

2规范性引用文件.................................................................................................................................................1

3术语和定义.........................................................................................................................................................1

4概述.....................................................................................................................................................................5

5适用范围.............................................................................................................................................................6

6安全需求.............................................................................................................................................................6

附录A（规范性）安全威胁类型对应安全对策....................................................................................19

I

T/HMSJRXH001—2023

前言

本标准按照GB/T1.1-2020《标准化工作导则第1部分:标准化文件的结构和起草规则》起草。

本标准由哈密市商业银行股份有限公司提出。

本标准由中国人民银行哈密市分行归口。

本标准起草单位：中国人民银行哈密市分行、哈密市商业银行股份有限公司。

本标准主要起草人：张雷、徐伟峰、阿依萨代提·阿卜力孜、梁云鹏、朱磊、刘奎、李兵虎、何康

旭、郑亚红、陈晨。

II

T/HMSJRXH001—2023

引言

本标准是参考国家及行业标准，结合法人银行业金融机构实际情况，规范软件开发中安全建设而制

定的标准性文档，制定该规范目的是为了明确软件开发中需要遵循的信息安全标准。依据该规范，软件

开发人员在软件开发整个生命周期中,规范软件安全需求分析、安全设计、安全编码以及安全测试等工

作，减少和控制软件安全漏洞和安全隐患，提高软件安全防护能力，进而开发符合法人银行业金融机构

信息安全规范的高质量软件。

IV

T/HMSJRXH001—2023

哈密市法人银行业金融机构软件开发安全需求规范

1范围

本规范规定了软件开发人员在软件开发整个生命周期中,软件安全需求分析、安全设计、安全编码

以及安全测试等工作要求。

本规范适用于各类组织对项目经理、开发人员及安全管理人员的管理。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本标准必不可少的条款。其中，注日期的引用文件，

仅该日期对应的版本适用于本标准；不注日期的引用文件，其最新版本（包括所有的修改单）适用于本

标准。

GB/T25070-2010《信息安全技术软件安全评测要求》

GB/T22239-2008《信息安全技术防篡改技术要求》

GB/T22240-2008《信息安全技术电子认证技术规范》

GB/T22239.2-2008《信息安全技术防篡改技术评测指南》

GB/T31113-2014《信息安全技术个人电脑安全要求》

ISO/IEC27001:2013《信息技术-信息安全管理体系-要求》

ISO/IEC27034-1:2011《信息技术-安全技术-应用安全-第1部分：概念和模型》

ISO/IEC15408-1:2009《信息技术-安全评估方法-第1部分：概述和模型》

ISO/IEC27002:2013《信息技术-安全技术-信息安全管理实践指南》

3术语和定义

下列术语和定义适用于本标准。

3.1

应用架构applicationarchitecture

软件的最上层是应用程序和API，以下是中间件层，最低的基础设施层包括底层基础设施的逻辑表

现和物理表现层。应用可能运行DMZ（demilitarizedzone）区域或者内部网的服务器上。

3.2

应用层applicationlayer

1

T/HMSJRXH001-2023

应用层是软件的特有功能实现的地方。软件可能是定制开发的，或者是第三方的系统。

3.3

应用程序接口applicationprogramminginterface

一组预先定义好的功能，开发者可通过该功能（或功能的组合）便捷地访问相关服务，而无需关注

服务的设计与实现。

[来源：JR/T0185-2020，3.1]

3.4

中间件middleware

安全中间件是设计用于建立独立的安全服务功能，以便多应用调用的程序组件。

3.5

基础设施infrastructure

基础设施层是应用在上面运行的操作环境。它包括了环境平台、网络服务、硬件和加密设备等。

3.6

安全日志securitylog

这里所说的安全日志是指由软件记录的各种与信息安全相关的统计信息和异常事件，主要包括系统

的启动与停止、系统的认证与授权、数据修改、删除以及数据传输等与信息安全相关的日志记录。不同

与其它交易日志和防火墙或网络设备监控日志，在软件中我们把它单独抽取出来作为监控与分析软件，

分析软件安全的依据。

安全日志本身不能提供足够的信息来确定对安全事件的是否响应及怎样响应。安全日志再加上收集

和查询及分析安全日志的其他安全审计工具与技术，才能组成一个完整的对软件安全监控和检测机制。

3.7

安全审计Audit

安全审计是通过对软件上发生的安全日志，并对日志进行统计分析，从而对资源使用情况进行事后

分析的有效手段，也是发现和追踪事件的常用措施。在存储和使用安全建设中，审计的主要对象为用户、

主机和节点，主要内容为访问的主体、客体、时间和成败情况等。

安全审计应为确定发生的安全事件以及用户在安全事件中的责任提供准确的依据，是指软件能够检

测、判断，或者使用工具和软件检测、判断发生了哪些安全事件，并采取相应的响应措施。审计内容用

于检测、判断发生了哪些与安全相关的活动，以及这些活动应由哪个用户负责。

2

T/HMSJRXH001—2023

3.8

用户ID-口令UserID-Password

是软件和终端登录所采用的最基本的访问控制手段，对于口令管理的疏忽随时都可能导致对软件或

终端系统的非法访问和破坏，因此从信息安全的角度，软件必须对于口令的设定、使用、更新和保护等

各个环节进行规范提供足够技术支撑。

3.9

风险分析riskanalysis

确定安全风险，决定风险等级，确立防护范围的过程。风险分析是风险管理的一部分。

3.10

安全策略securitypolicy

规定机构如何管理、保护与分发敏感信息的法规与条例的集合。

3.11

安全需求securityrequirements

为使设备、信息、应用及设施符合安全策略的要求而需要采取的保护类型及保护等级。

3.12

安全测试safetytesting

用于确定系统的安全特征按设计要求实现的过程。这一过程包括现场功能测试、渗透测试和验证。

3.13

保密性confidential

为秘密数据提供保护状态及保护等级的一种特性。

3.14

数据完整性dataintegrity

信息系统中的数据与在原文档中的相同，并未遭受偶然或恶意的修改或破坏时所具的性质。

3

T/HMSJRXH001-2023

3.15

数据可用性dataAvailability

当用户需要数据时，数据就以用户需要的形式存在于用户需要的地方的一种状态。

3.16

不可否认性non-repudiation

不可否认性是一种安全性概念，用来证明特定信息的传输过程。如果系统采用不可否认性技术，那

么消息发送者就不能否认曾传送过该消息，而消息接收者也不能否认曾接收该消息。此外，如果消息包

含合同信息，消息上的数字签名将能够验证合同信息并未遭到不当更改。

3.17

访问控制accesscontrol

限制已授权的用户、程序、进程或计算机网络中其他系统访问本系统资源的过程。用于处理所赋予

用户的访问权限，以便他们执行系统上的某些功能。

3.18

访问控制机制accesscontrolmechanism

在信息系统中，为检测和防止未授权访问，以及为使授权访问正确进行所设计的硬件或软件功能、

操作规程、管理规程和它们的各种组合。

3.19

访问管理accessmanagement

访问管理对访问信息进行管理，主要包含如下四项任务：帐户管理、维护、监控和撤销。

3.20

认证authentication

信息系统技术和非技术的安全特征及其他防护的综合评估，用以支持审批过程和确定特殊的设计和

实际满足一系列预定的安全需求的程度。

3.21

身份验证authentication

4

T/HMSJRXH001—2023

用户利用此方法向系统证明他们是所宣称的身份。身份验证通常采用密码、智能卡、生物技术等方

式。

3.22

信息隐藏informationhiding

它是隐藏信息或其他数据存在的方法，其和密钥技术不同，它只隐藏信息内容，而不会隐藏信息本

身。例如“无字墨水”。

3.23

强口令strongpassword

强口令是设计使得个人或程序难得发现的一种口令。由于口令的目的在于保证只有授权用户才能访

问资源，容易猜测的口令存在安全隐患。强口令的基本元素包括足够的长度以及多种字符类型的混合。

当人们创建口令时，他们常常选择他们的名字、宠物的名字甚至“password”这个词，从而违背了口令

的目的。

3.24

安全扫描securityscan

利用安全扫描工具依照程序设定自动探测及发掘规则以探测系统缺陷和存在的漏洞。通过安全扫描

查找安全漏洞，查杀病毒，木马，蠕虫等危害系统安全的恶意程序，检测主机当前可用的服务及其开放

端口，查找可能被远程试图恶意访问者攻击的大量众所周知的漏洞，隐患及安全脆弱点。

4概述

《哈密市法人银行业金融机构软件开发安全需求规范》（以下简称《需求规范》）是为规范软件开

发中安全建设而制定的标准性文档，制定该规范目的是为了明确软件开发中需要遵循的信息安全标准。

依据该规范，软件开发人员在软件开发整个生命周期中,规范软件安全需求分析、安全设计、安全编码

以及安全测试等工作，减少和控制软件安全漏洞和安全隐患，提高软件安全防护能力，进而开发符合法

人银行业金融机构信息安全规范的高质量软件。

该规范制定过程中考虑了目前开发管理的实际情况并参照业界软件安全研究成果，从可操作性方面

考虑，本版软件开发安全需求规范仅确定了软件开发中应遵循的最小安全规范集合，该规范中所涉及的

内容是软件开发中必须执行的内容，也是软件验收环节安全测试的依据，安全测试将作为评判软件是否

符合上线的指标之一。在软件开发过程中的安全需求必须涵盖但不限于本规范的要求，重要系统软件开

发中要根据自身软件风险分析情况充实完善软件安全需求。

5

T/HMSJRXH001-2023

信息安全攻防技术是一个快速发展的领域，为应对新出现的软件安全漏洞和安全缺陷，《需求规范》

也将定期更新，新补充的软件安全需求内容将会在随后版本中得到整合体现。

5适用范围

《哈密市法人银行业金融机构软件开发安全需求规范》中提到的软件包括在服务端、客户端运行以

及单机上独立运行的软件，《需求规范》中所指的软件包括哈密市法人银行业金融机构独立开发的软件

及与外单位合作开发的软件，也包括通过委托外包方式开发的软件。

各项目经理、开发人员及安全管理人员是《哈密市法人银行业金融机构软件开发安全需求规范》的

使用对象。项目经理及开发人员负责软件开发安全需求在软件开发过程的落实工作，负责软件安全测试

工作；安全管理人员负责项目可研立项阶段、需求分析和软件设计阶段的安全审核工作以及软件上线、

验收过程中的安全测试审核工作。

6安全需求

软件开发安全需求包括六个方面，依次为软件访问控制、数据保护、编码安全、日志管理、部署准

备和开发环境管理。访问控制部分说明软件自身在用户识别和授权方面的具体要求，明确软件访问控制

应具备的基本要素。数据保护部分说明如何在对数据分类的基础上，选择适当的技术措施进行数据安全

保护。编码安全强调何种编码行为是要严格遵守，何种编码方式具有高隐患应予禁止，进而说明如何建

立一种安全的软件编码机制。日志管理部分主要从可审计角度来考虑，明确软件应记录的行为内容、记

录格式以及对日志的管理办法。部署准备说明软件上线前要对编码进行梳理规范，清除不必要的调试编

码等信息，避免信息泄露等隐患。开发环境管理说明如何处理软件本身与开发和运行主机之间的关系，

以保持软件自身安全与