安全系統發展生命週期
安全系統發展生命週期(Secure Software Development Life Cycle, SSDLC)原則
在「資通安全責任等級分級辦法」附表十「資通系統防護基準」,要求落實「安全系統發展生命週期(Secure Software Development Life Cycle, SSDLC)」,系統發展過程的需求、設計、開發、測試、部署維運等每個階段都應該納入必要的安全項目考量。
但是,這部分所提的只是SSDLC原則,像是需求階段應以檢核表確認安全需求、開發階段應針對安全需求實作必要控制措施、部署階段應針對資安威脅進行更新修補。但是,SSDLC如何更具體執行呢?
防護基準即SSDLC項目
其實,「資通系統防護基準」就是各機關自行或委外開發之資通系統應執行的控制措施,例如存取控制構面下的帳號管理措施,可以看到右圖標示紅色底線處,必然是要在系統需求、設計、開發等三個階段應該著手進行的,才能在最後完成的系統具備這些項目所訂的安全措施。
所以,只要將防護基準所有項目一一釐清應該哪些階段進行探討,其實就是一種SSDLC的做法。
在教育部稽核計畫提供的「資通系統防護基準自我檢核表」就有納入前述具體說明,讓各機關學校在進行資通系統發展時可以參考依循。但是,應該還要進一步定義各項目應該在SSDLC的哪些階段必須探討執行,好讓系統開發人員能逐步完成每個階段相關項目的確認。「教育機構資安驗證中心」基於協助教育部實地稽核之責任,著手設計下列檢核表,提供各界可依循的SSDLC執行方案。
![](https://www.google.com/images/icons/product/drive-32.png)