A.14 系統獲取、開發及維護

A.14.1 資訊系統之安全要求事項

目標：確保資訊安全係跨越整個生命週期之整體資訊系統的一部分。此亦包括經由公共網路提供服務之資訊系統的要求事項。

A.14.1.1 資訊安全要求事項分析及規格

資訊安全相關要求事項，應納入新資訊系統或既有資訊系統之強化的要求事項中。

• 必要性對資訊系統之安全基準要求、法規的要求、或是客戶的要求，不管是新專案或舊專案，都應納入軟體安全開發流程中

A.14.1.2 保全公共網路之應用服務

應防範於公共網路上傳送的應用服務中涉及之資訊，免於詐欺活動、契約爭議及未經授權揭露與修改。

• 最常見的就是對外網站要綁加密傳輸(HTTPS)，或是其他的保護方式。

A.14.1.3 保護應用服務交易

應保護應用服務交易中涉及之資訊，以防止不完整傳輸、誤選路(mis-routing)、未經授權之訊息修改、未經授權之揭露、未經授權之訊息複製或重演。

• 系統是有進行交易的部份，要能做必要性的安全保護，如一次性密碼(OTP)、隨機驗證碼(CAPTCHA)。

A.14.2 於開發及支援過程中之安全

目標：確保於資訊系統之開發生命週期內，設計及實作資訊安全。

A.14.2.1 保全開發政策

應建立軟體及系統開發之規則，並應用至組織內之開發。

• 組織要有正式的軟體開發流程的政策，並同時兼併資安要求

A.14.2.2 系統變更控制程序

應藉由使用正式之變更控制程序，以控制開發生命週期內之系統變更。

• 主要要看執行與流程要求是否一致，也需識別流程是否有問題，如：應用系統的變更管理、版控變更、套件更新

A.14.2.3 運作平台變更後，應用之技術審查

當運作平台變更時，應審查及測試營運之關鍵應用，以確保對組織運作或安全無不利衝擊。

• 如果開發環境或是正式環境有重大變更，如：Windows 2008 升版 2016、Oracle 換 MS SQL，或是開發工具需要更新成大版，需要先進行測試與審查影響性。

A.14.2.4 軟體套件變更之限制

應不鼓勵修改軟體套件，且僅限於必要變更，並應嚴格控制所有變更。

• 應不鼓勵修改軟體套件，但如客製也要以控掌控變更管理

A.14.2.5 保全系統工程原則

保全系統之工程原則，應予建立、文件化、維持及應用於所有資訊系統實作工作。

• 依開發政策(A.14.2.1)，內部也應該會有相關的執行原則，如：內部的開發手冊、共用命名規則、機敏資訊的保護機制等等。

A.14.2.6 保全開發環境

對涵蓋整個系統開發生命週期之系統開發及整合工作，組織應建立並適切保護安全開發環境。

• 保護開發環境的保護機制，以免影響到整個開發的品質與安全

A.14.2.7 委外開發

組織應監督及監視委外系統開發活動。

• 委外開發的專案監督，從合約、程式碼交付、供應商的開發方式等相關的規範等等，與委外廠商有關的執行交付與監督活動，

A.14.2.8 系統安全測試

於開發中，應實施安全功能性之測試。

• 功能性或上版測試記錄

A.14.2.9 系統驗收測試

應建立新資訊系統、系統升級及新版本之驗收測試計畫及準則。

• 系統依計畫進行驗收的記錄結果

A.14.3 測試資料

目標：確保測試用資料之保護。

A.14.3.1 測試資料之保護

應小心選擇、保護及控制測試資料。

• 測試環境如同正式資料，則要進行保護，如同正式環境。
• 或是測試環境的資料有做過其他處理，如：去識別化，這要到測試資料庫去看實際敏感資訊是否有保護

參考文獻

國家標準(CNS)網路服務系統：https://www.cnsonline.com.tw/

恐怖遊戲推薦：

暴雨殺機(Heavy Rain)

Steam：https://store.steampowered.com/app/960910/
你願意為了救心愛的人付出多少？

體驗充滿無數轉折的刺激心理驚悚劇情。沉寂了四天之久、留下諸多懸疑的摺紙殺人魔悄悄地展開獵殺，之所以被人稱為「摺紙殺人魔」，是因其常在犯案現場留下用自己名片做的、代表死亡的摺紙動物。四位不同的角色都將追查各自的線索，都背負著各自的動機。您將主導四位角色們的每個行動，竭力阻止更多人慘遭殺人魔的毒手。

您必須迅速地思考，甚至更迅速地採取行動，您做出的每個選擇都將導致戲劇性的結果，並改變遊戲的進行——更會決定誰能存活……誰將死亡。

故事的結局完全操之在您手裡。