18.3 系統的開發和支持過程管理（MAD_DSS）

18.3.1　安全保障管理目的

組織機構應維護應用系統軟件和信息的安全，嚴格控制項目和應用系統的支持環境，并審查系統中所有的變化來判斷系統/環境的安全性。

18.3.2　MAD_DSS.1 變更控制流程

18.3.2.1　管理保障控制組件控制

組織機構應通過使用正式的變更控制流程，來控制變更的實施。

18.3.2.2　管理保障控制組件注解

組織機構應記錄并實施正式的變更控制流程，以使系統受到的破壞最小化。在引入新系統或現有系統發生重大變化時都應遵循一個正式的定義、測試、質量控制和管理實施過程。
此過程應包括風險評估，變更影響分析、確定所需的安全控制措施，以確保現有的安全控制流程不被破壞，僅授予技術支持人員基于工作需要訪問系統部分的權限。此過程獲得了正式批準。
如果可行，變更控制流程應與運行變更控制流程結合起來。變更流程應包括：
a) 維護一個統一的授權級別記錄；
b) 確保授權用戶都提交了系統變更；
c) 審核控制流程和完整性流程以確保這些流程不會由于變更而受到破壞；
d) 識別需要修改的所有軟件、信息、數據庫實體和硬件；
e) 在開始使用變更建議前應獲得正式的批準；
f) 確保授權用戶在實施變更之前接受變更；
g) 確保每次變更完成后更新系統文檔組，將舊文檔存檔或廢棄舊文檔；
h) 為所有軟件更新維護一個版本控制；
i) 為所有變更請求維護一個審計跟蹤；
j) 確保操作文檔和用戶流程只有在必要時才更改。；
k) 確保在正確的時間段實施變更，變更不干擾相關的業務過程。

18.3.3　MAD_DSS.2 操作系統變更后應用的技術審核

18.3.3.1　管理保障控制組件控制

當組織機構改變了操作系統時，應審核和測試業務關鍵應用以確保變更不會對組織機構的運行和安全造成負面影響。

18.3.3.2　管理保障控制組件注解

此審核過程應覆蓋：
a) 審核應用控制流程和完整性流程以確保不會受到操作系統變更的影響；
b) 確保年度支持計劃和預算覆蓋了由于操作系統變更需要做的審核和系統測試；
c) 確保在操作系統變更實施前及時提供變更通知，以便進行恰當的測試和審核；
d) 確保業務持續性計劃中做了適當更改。
組織機構應該指定一個特定的組或個人來監控系統脆弱性以及監控銷售商發布的補丁。

18.3.4　MAD_DSS.3 信息泄露

18.3.4.1　管理保障控制組件控制

組織機構應防止信息泄露。

18.3.4.2　管理保障控制組件注解

應考慮下列內容以限制信息泄露的風險，例如，通過使用隱蔽通道：
a) 掃描對外介質和隱藏信息的通信；
b) 偽裝并調整系統和通信行為以減少第三方從這種行為推斷的可能性；
c) 使用被認為是具有高完整性的系統和軟件，例如使用經過評估的產品（參見GB/T 18336）；
d) 在法律法規允許的情況下，定期監控人員行為和系統活動；
e) 監控計算機系統中的資源使用方法。

18.3.5　MAD_DSS.4 軟件的外包開發

18.3.5.1　管理保障控制組件控制

組織機構應監督外包軟件的開發過程。

18.3.5.2　管理保障控制組件注解

當軟件開發外包時，應考慮下列內容：
a) 許可權、代碼所有權和知識產權；
b) 如何證實實施工作的質量和準確度；
c) 如果第三方工作出現失誤，如何安排由第三者保存附帶條件委付蓋印的契約內容；
d) 針對工作質量和工作準確度的審計文檔的訪問權限；
e) 在合同中對代碼質量和安全功能的要求；
f) 在安裝前測試以檢測惡意代碼和特洛伊木馬代碼。