信息安全技术-应用软件安全编程指南-编制说明.doc

信息安全技术-应用软件安全编程指南-编制说明.doc:..国家标准《应用软件安全编码指南》(征求意见稿)编制说明一、 工作简况本标准依据GB/-2009给出的规则起草。由全国信息安全标准化技术委员会(SAC/TC260)提出并归口。木标准起草单位:国家计算机网络应急技术处理协调中心、北京邮电大学、北京奇虎测腾安全技术有限公司。本标准主要起草人:舒敏、王博、吴倩、黄元飞、张家旺、林星辰、陈禹、王鹏翩、李燕伟、高强、杨鹏、陈亮、范乐君、张淼、徐国爱、郭燕慧、李祺、杨昕雨、王晨宇、黄永刚、韩建、章磊。二、 标准编制原则和确定主要内容的论据及解决的主要问题本标准的编制原则为科学性、实用性、普适性。本标准对应用软件安全编程进行规范和指导,帮助应用软件开发荠在编程时提升软件安全性,避免在软件发布后由安全问题造成的重大损失。本标准的制定广泛吸收了相关编码标准或技术报告中的内容,冋吋深入考虑实际编程中的安全问题,已在通信、金融等重点行业的软件开发部门展7H式用,结果表明该标准能够为软件安全编程提供有效指导,明显提升软件安全性,具有较高的可行性和指导意义。三、 主要试验[或验证]情况分析S前己在通信、金融等重点行业的软件开发部门展开试用,效果良好,能够明显提升软件安全性。!1!无五、产业化情况、推广应用论证和预期达到的经济效果本标准旨在为应用软件开发者提供安全编程指导,可帮助开发者快速建立安全意识,减少代码中的安全隐患,提升软件安全性。目前己在通信、金融等重点行业的软件开发部门展开试用,取得了良好的效果。此外,标准还可用于信息系统建设单位对应用软件开发商进行安全编程规范,如作为合同附件、招投标要求等。六、采用国际标准和国外先进标准情况未直接采用国际标准。puterEmergencyReadinessTeam)正在维护的针对C、C++、Java、Perl四种编程语言的安全编程指南,旨在为开发者提供指导和建议,帮助其开发出健壮、安全的软件。该指南目前以Wiki形式公开,处在开放性状态,允许开发者补充和修改。国际标准化组织ISO和国际电工委员会(IEC)在信息技术领域编程语言方而进行丫一系列研宄。ISO17961“Csecurecodingrules”屮包含丫46条0语言安全编程细则和代码示例,TSO/TECTR24772:2013“Guidancetoavoidingvulnerabilitiesinprogramminglanguagesthroughlanguageselectionanduse”从编程语言自身的语言特性出发,给出了语言选择指南,以及使用特定语言时,规避安全漏洞的建议。汽车工业软件可靠性协会(MISRA,TheMotorIndustrySoftwareReliabilityAssociation)提出了一套针对嵌入式软件的C/C++编码标准,最新的版木是MISRAC:2012。通常认为,如果能够完全遵守这些标准,则代码是易读、可靠、可移植和易于维护的,很多嵌入式开发者都以该标准来衡量自己的编码风格。本标准屮的基本内容吸收丫CWE、0WASP等国外安全编程技术规范,借鉴丫ISO/IEC、CERT、MISRA等相关国际标准。与IS0/IEC(17061、24772)等安全编程相关国际标准不同,木标准独立于具