应用系统维护

1）应用系统维护安全的意义

应用系统维护是软件开发项目的后期阶段，是应用系统开发管理的后期过程，也是系统安全的长期实践和管理的重要组成部分。应用开发安全的思想和实践不应随着系统开发的完成而放松，应该在应用维护阶段持之以恒地不断加强，将应用开发安全在维护阶段长期地坚持下去。在应用维护阶段，对于应用的维护和变更往往会更加零散和频繁，而这个过程对于开发安全的重视程度往往会较集中开发阶段有所忽视。所谓“千里之堤，溃于蚁穴”，对于软件运维过程中发现的安全问题，不及时纠正或者没有充分考虑，往往会造成更多的安全问题。

2）应用系统维护的安全要求

在系统维护阶段的安全性需要考虑：软件源代码控制、开发变更管理、安全分析及漏洞修复等。

（1）软件源代码控制。软件源代码包含了应用系统及其运行机制的全部内容，因此源代码的泄漏将带来非常严重的问题。获得了源代码，就可以对系统进行恶意修改，而且如果源代码丢失也会导致无法进行应用系统的程序变更和维护工作。因此为了保障应用系统的源代码安全，需要对软件源代码库的访问进行严格的控制。

（2）开发变更管理。应用系统在运行过程中，由于业务发展的需要会不断地进行系统变更而增加系统功能。但是系统变更很容易导致应用系统受到影响，特别是没有经过审批同意的变更，更容易导致系统产生安全问题，包括数据完整性的损失、应用系统的不可用以及机密信息泄漏的安全风险。为了降低应用系统的变更影响，应用系统需要建立详细的开发流程及变更流程，对应用系统的变更进行严格的控制，即在系统开发的各个阶段（需求分析、设计、编码、测试、投产上线等），都需要经过评审与授权。

开发变更涉及开发版本的管理，开发版本的管理直接决定生产运行的系统安全。因此需要对开发版本进行严格的控制并且及时地进行更新。

（3）安全分析及漏洞修复。应根据应用系统开发周期定期对系统开发源代码进行安全分析，可以使用代码安全分析工具自动分析扫描，加快代码分析的效率及准确性。对于扫描出来的安全漏洞，需要及时进行分析并予以修正。