代码安全审计制度

安全检查及审计制度

1范围

为加强XX公司信息通信分公司（以下简称“公司”）信息安全检查及审计工作，保障网络与信息系统的正常运行，依据有关法律、法规及信息安全标准，结合公司的实际情况，特制定本办法。

2规范性引用文件

下列文件中的条款通过本标准的引用而成为本标准的条款。凡是注日期的引用文件，其随后所有的修改单（不包括勘误的内容）或修订版均不适用于本标准，使用本标准的相关部门、单位及人员要研究是否可使用这些文件的最新版本。凡是不注日期的引用文件，其最新版本适用于本标准。

关于营销系统服务器的安全管理规定

中华人民共和国无线电管理条例

中办发 [2003]27号 中共中央办公厅、国务院办公厅转发《国家信息化领导小组关于加强网络与信息安全保障工作的意见》的通知

南方电网安监[2003]29号 中国南方电网有限责任公司安全生产工作规定

XX公司信息化工作管理办法

3细则

3.1通过监控类安全设备对信息系统进行安全性实时监控，通过审计类安全设备进行安全的综合性分析，多方结合以便及时发现存在的安全漏洞或恶意的攻击，从而实现动态和实时的安全控制。

3.2关键重要的安全设备须每天进行日常巡检，检查指示灯、服务状态等。

3.3所有安全设备须每月详细检查一次，记录并分析相关日志，对可疑行为及时进行处理。

3.4每周二次对网络防病毒系统的病毒库进行升级，并查看防病毒系统事件日志，包括各客户端病毒查杀日志、升级日志等。病毒发现情况和统一升级的情况，应记录于病毒系统安全检查表格中。 3.5在系统日常管理中，要定期（不少于两周一次）对系统日志文件等进行检查，并对用户登录情况进行检查，以尽早发现潜在的非法侵入。

3.6计算机信息系统中要有详细系统日志，记录每个用户的每次活动（访问时间、地址、数据、程序、设备等）以及系统出错和配置修改等信息。

3.7系统安全保密管理人员要定期审查系统日志并做好审查记录，审查周期不得长于一个月，同时保证系统核心日志的定期备份。

安全代码编写规范

一、 编写目的

为加强我司在软件开发中的安全规范要求，减少应用上线后带来潜在的安全风险，特拟定安全代码编写规范。

二、

三、

四、 使用范围

本规范适用于百度有限公司的开发类软件项目。

五、 应用安全设计

在总体架构设计阶段，需明确与客户方沟通确认甲方对于软件安全的相关要求，对于有明确安全要求的（例如授权管理要求、用户认证要求、日志审计要求等），须在设计文档中予以详细说明。对于互联网应用，务必明确网络安全、应用安全、数据安全相关的安全防护手段。

在技术架构上，应采用表现层、服务层、持久层分类的架构，实现对底层业务逻辑进行有效隔离，避免将底层实现细节暴露给最终用户。

在部署架构上，应采用应用服务器、数据库服务器的分离部署模式，在应用服务器被攻击时，不会导致核心应用数据的丢失。如软件产品具备有条件时，应优先采用加密数据传输方式（例如https协议）。

在外部接口设计方面，应采用最小接口暴露的原则，避免开发不必要的服务方法带来相关安全隐患，同时对于第三方接口，应共同商

定第三方接入的身份认证方式和手段。

六、 应用安全编码

4.1. 输入验证

对于用户输入项进行数据验证，除常见的数据格式、数据长度外，还需要对特殊的危险字符进行处理。特殊字符包括 < > " ' % ( ) & + \

\' \"等。

对于核心业务功能，除在客户端或浏览器进行数据验证外，还必须在服务器端对数据进行合法性检验，规避用户跳过客户端校验，直接将不合规的数据保存到应用中。

对于浏览器重定向地址的数据，需要进行验证核实，确认重定向地址是否在可信，并且需要对换行符（\r或\n）进行移除或者替换。

4.2. 数据输出

对需要输出到用户浏览器的任何由用户创造的内容，应在输出到浏览器之前或持久化存储之前进行转义(至少对<>转义为< >)以防止跨站攻击脚本(XSS)。对于无法规避的HTML片段提交，需对

企业安全审计制度

1、目的

为促进公司安全管理持续有效开展，创新安全生产监管手段与方式，提升公司安全管理效率和水平，保障安全管理体系有效运行，结合公司安全生产工作实际，特制定本制度。

2、适应范围：

本制度适应于公司安全管理体系和标准化运行以及安全生产规章制度、操作规程执行效果等情况定期进行审计评估。

3、安全审计组织及职责

3.1 安全审计组：

3.1.1安全审计组设组长、副组长、评审员、审计员；

3.1.2评审员由审计组长从审计组指定；

3.1.3审计员应取得注册安全工程师任职资格；

3.1.4各单位迎审员为单位安全负责人或安全员。

3.2 组长职责：

3.2.1组织召开审计启动会议和审计总结会议；

3.2.2审查审计报告；

3.2.3向总经理呈报审计报告。

3.3 副组长职责：

3.3.1组织开展公司的安全审计工作； 3.3.2审查纠正和预防措施的执行情况；

3.3.3向审计组长汇报审计的结果及建议；

3.3.4编制审计报告。

3.4 审计员职责：

3.4.1准备审计清单；

3.4.2制定安全审计的范围和日程；

3.4.3审计过程实施；

3.4.4分析审计结果并提出改进意见；

3.4.5提交纠正和预防措施建议；

3.5迎审员职责：

3.5.1配合评审员的审计工作；

3.5.2落实纠正和预防措施；

3.5.3提交纠正和预防措施的实施记录或报告。

4 审计原则、范围、方式、频次和时间

4.1安全审计工作必须坚持“谁主管、谁负责”和“审计评估与督促整改相结合、奖励与处罚相结合”的原则，必须做到有领导、有组织、有目的、有要求、有具体计划的“五有方针”。

4.2公司、车间、工段、班组四级安全管理。

4.3安全审计的方式包括：内部审计和外部审计（第三方审计）。

4.4内部审计，每季度审计一次，具体审计时间为每季度结束次月。

4.5外部审计，每年审计一次，于每年12月底或次年1月份进行。外部审计由公司委托第三方评价机构进行，成员由评价机构相关专家组成。

1

XX系统源代码安全审计报告

XX部门

20XX年X月

2 目 录

1. 源代码审计概述 ............................................................................................................... 1

1.1. 审计对象 ...................................................................................................................... 1

1.2. 审计目的 ...................................................................................................................... 1

1.3. 审计流程 ...................................................................................................................... 1

1.4. 审计组织 ...................................................................................................................... 1

2. 源代码审计范围 ............................................................................................................... 1