软件开发测试及准生产环境管理规范

软件开发测试及准生产环境

管理规范

-标准化文件发布号：（9456-EUATWK-MWUB-WUNN-INNUL-DDQTY-KII

软件开发、测试及准生产环境管理规范

（ISO27001-2013）

第一章总则

第一条为加强公司开发测试及准生产环境的管理，确保开发测试及准生产环境项目文档、代码及数据安全，明确开发测试及准生产环境软硬件平台的维护职责，保证开发测试及准生产环境的稳定运行，提高开发效率，特制定本办法。

第二条本办法所指开发测试及准生产环境是指公司软件项目在开发过程中所使用的相关环境，包括并不仅限于开发环境、用户测试环境、准生产环境、配置版本库环境等。

第三条开发测试及准生产环境的管理和建设应遵循以下原则：

(一) 安全性：通过相应管理制度和技术手段，保证开发环境数据、代码、文档等信息的安全可靠，保证不会丢失。

(二) 保密性：通过相应管理制度和技术手段，保证公司的商业秘密及数据、代码、文档等重要信息不会被非法访问或泄露。

(三) 高效性：通过采用合适的软硬件平台和技术手段，保证开发环境的各套系统的运行速度和效率，保证项目开发进度。

(四) 稳定性：通过采用合适的软硬件平台和技术手段，保证开发环境各套系统的稳定运行，减低系统故障率。

第二章分工及职责

第四条信息部运维组主要负责如下工作：

(一) 负责开发测试及准生产环境的机房设备、硬件设备、网络设备、系统软件的安装、管理、维护、故障报告后的性能监控及排查等工作。

(二) 负责开发测试及准生产环境的病毒防治工作。

(三) 根据项目组的要求，配合完成开发测试及准生产环境的数据及版本配置库的备份与恢复工作。

(四) 协助项目组完成开发测试及准生产环境的性能优化工作。

(五) 对开发过程中遇到的硬件平台、系统软件、网络等技术问题提供支持。第五条信息部项目组成员主要负责如下工作：

(一) 准生产系统权限、密码管理。

(二) 准生产环境的应用系统搭建、配置工作。

(三) 准生产环境程序、数据的同步。

(四) 准生产环境的版本管理及配置管理。

(五) 准生产环境的维护和软件系统投产前验证。

(六) 准生产环境应用软件故障的调查、分析。

第六条开发厂商职责。

(一) 开发测试环境系统权限、密码管理

(二) 开发测试环境系统搭建、配置工作。

(三) 开发测试环境程序版本发布。

(四) 开发人员客户端程序代码、文档的管理、备份工作。

(五) 开发测试环境的程序开发、测试维护和投产前验证。

(六) 开发测试环境应用软件故障的排查、分析。

第三章保密管理

第七条为加强项目开发、实施期间的保密管理，维护公司的商业秘密和权益，所有参与项目的厂商必须与公司签订《保密承诺书》，所有参与项目的厂商人员必须签字承诺遵守《保密承诺书》，否则不允许厂商及人员进场。第八条外包人员不得在办公区内部接待与工作无关的访客，如有人员来访，应在会客区接待；对因工作需要，需要在办公区接待的访客，应会知工作人员，并填写《项目组外来人员访客登记表》，《项目组外来人员访客登记表》的格式请参考附件一。

第九条为保证准生产环境中业务数据的保密性，必须保证准生产环境网络与开发环境网络严格隔离，保证开发环境网段、业务测试环境网段的人员不能访问准生产环境。

第十条为保证准生产环境数据的保密性，准生产环境网段的所有机器的USB端口必须屏蔽，防止信息泄露。

第十一条原则上，开发厂商人员不允许访问准生产环境，特殊情况下，开发人员必须访问准生产环境的，要由IT人员会同，通过指定的机器访问，并填写《准生产环境访问登记表》，《准生产环境访问登记表》的格式请参考附件二。

第十二条用户测试环境、开发环境原则上不允许同步生产环境的数据，特殊情况下，如果需要，则必须屏蔽、删除敏感数据后，才允许导入。

第十三条从生产环境到准生产环境、测试环境、开发环境的数据同步，原则上必须通过网络传递，不能通过移动硬盘、U盘等移动介质，以防止信息的泄露和丢失。

第十四条准生产环境、测试环境、开发环境各种服务器的密码管理必须符合《公司信息系统密码管理办法》，必须IT掌握，并定期修改。

第四章安全管理

第十五条开发测试及准生产环境是公司重要的信息系统，包含有公司与软件项目相关的程序、数据、文档等重要信息，必须采取必要的安全措施，保证其稳定运营。

第十六条开发测试及准生产环境的软、硬件平台在选购时，必须充分考虑安全、稳定、效率等因素，保证开发测试及准生产环境的信息安全。

第十七条对开发测试及准生产环境的配置版本库以及重要数据、系统软件、配置参数、程序、代码、文档等要制定相应的备份策略，定期进行备份，以保证数据安全。

第五章版本库管理

第十八条配置版本库作为公司最核心的信息资产，为保证其安全性、机密性，必须采用必要的措施保证其未被非法篡改、泄露和破坏。

第十九条项目经理负责配对应项目版本配置库的管理和权限审批，IT人员、厂商人员必须根据项目的工作范围，提交《IT配置库使用权限申请单》，

申请配置库的使用范围和权限，《IT配置库使用权限申请单》的格式请参考附件二。

第二十条IT人员、IT外包人员离职或调动，由IT项目经理通知配置管理人员注销其配置库访问权限。

第二十一条 IT部将定期对配置库中内容进行审计检查。如被要求，所有IT人员、IT外包人员必须协助这项检查。

第二十二条严禁在配置库中提交各种病毒、恶意广告、游戏、电影、非工作相关内容。

第二十三条未经允许，严禁删除配置库中任何内容。

第二十四条严禁IT人员、IT外包人员通过其他渠道获取配置库中与其权限不对称的内容。

第二十五条严禁使用任何媒介复制配置库内容带离职场。

对违反上述规定的IT人员、IT外包人员，一经查实，将酌情处理通报，情节严重者将追究当事人及其所在公司的法律责任。