文章目錄

• • 一、軟件與軟件安全的需求分析
  • • 1、軟件需求分析的主要工作
    • 2、軟件安全需求分析的主要工作
  • 二、軟件安全需求來源
  • • 1、來源的分類
    • 2、軟件安全遵從性需求
  • 三、需求的獲取
  • • 1、獲取的相關方
    • 2、獲取方法

一、軟件與軟件安全的需求分析

為了開發出滿足用戶需求的軟件產品，首先需要知道的是用戶的需求。這是對軟件開發工作能否取得成功的基礎條件。

1、軟件需求分析的主要工作

為了開發出滿足用戶需求的軟件產品，首先需要知道的是用戶的需求。這是對軟件開發工作能否取得成功的基礎條件。
1）確定系統的綜合要求

• 功能需求：劃分系統需要的功能
• 性能需求：指定系統的約束，包括速度、信息量、存儲量等
• 可靠性和可用性需求：頂倆個的指定系統的可靠性，它量化了系統被用戶的實用程度。
• 出錯處理需求：該如何人響應錯誤環境。
• 接口需求：描述系統與特的通信格式
• 約束：應該遵循的限制條件
• 逆向需求：說明軟件不應該做什么。
• 將來可能提出的需求：明確哪些需可能擴充到軟件之中。

2）分析系統的數據要求
準確全面的定義數據，正確的描述數據之間的邏輯關系。
3）導出系統的邏輯模型
使用數據流圖、實體-聯系圖、狀態轉換圖、數據字典等邏輯模型。
4）修正系統開發計劃
在分析過程中，對系統的深入理解，可以具體的、準確的估計系統的成本和進度，修正以前制定的計劃。

2、軟件安全需求分析的主要工作

1）軟件安全需求分析的目的與作用

• 目的： 描述為了實現信息安全目標，軟件系統應該做什么，才能高效的提高軟件的安全質量，減少軟件漏洞。
• 重要作用：一個沒有驚進行安全需求分析的軟件開發項目，將威脅到信息的保密性、完整性和可用性，以及其他的一些安全問題。這個軟件被攻破就只是時間的問題，早晚會被攻破。所以對于一個軟件來說，軟件的安全需求分析是必不可少的。

2）安全需求分析與軟件需求分析的聯系
軟件安全需求分析是軟件需求分析的一個必要組成部分。安全需求應該與業務需求具有同樣的需求水平，并能對功能需求具有約束力。
3）安全需求分析與軟件需求分析的區別
軟件安全需求的客觀性：
軟件安全需求分析是由系統的客觀屬性決定的。與一般需求分析的不同在于：安全需求并不是從使用者的要求和興趣出發，而是由系統的客觀屬性決定的。
軟件安全需求的系統性：
軟件安全需求分析不能只從系統本身出發，必須從系統角度進行分析。因為軟件本身可能會由于邏輯、數據、時序等設計缺陷導致安全問題。從系統角度分析，不可避免涉及到各個領域的專業知識與經驗積累。因此分析時應以人為主，分析工具只能起到輔助作用。并且分析時需要有專業的分析人員，熟悉系統架構的總體設計人員，軟件設計人員和各領域專家共同參與。
4）安全需求分析的主要工作
首先需要確定明白你軟件的業務運行環境、規則環境及技術環境。然后在了解各類軟件安全需求的基礎上，通過一定的安全需求獲取過程，對軟件應該包含的安全需求進行分析，然后對如何實際部署和開發進行討論。

二、軟件安全需求來源

1、來源的分類

內部安全需求：
內部安全需求一是指內部需要遵守的政策、標準、指南和實踐模式，二是軟件功能需要的相關安全需求。
外部安全需求：
主要是法律法規等遵從性需求，包括國家和地區的關于技術與管理的法律法規、標準與要求等。

2、軟件安全遵從性需求

主要由信息系統安全的測評國際保準、信息安全管理的國際標準、信息系統安全工程國際標準以及我國的信息安全標準等組成。

三、需求的獲取

1、獲取的相關方

軟件安全需求獲取的相關方包括 業務負責人、最終用戶、客戶、安全需求分析人員和安全技術支持人員等。
業務負責人、最終用戶和客戶咋安全需求確定是發揮著重要作用，應當積極的參與安全需求的采集和分析過程。
此外，運維小組與信息安全小組等技術支持人員頁式相關方，應與分析人員、業務負責人、客戶等做好積極溝通，尋求支持與幫助。

2、獲取方法

1）頭腦風暴
又稱之為智力激勵法、自由思考法，是指無限制的思考和自由聯想、討論等，其目的在于產生新觀念或者激發新創想。值得注意的是，這種情況只適用于需要快速實現的情況下使用。并且這種方式提出的安全需求可能不全面或不一致，以來于個人對問題的理解以及自身的經驗等，比較主觀。
2）問卷調查和訪談
通過問卷調查，可以直接的生成安全需求。其有效性取決于如何向被調查對象提出和是的問題。調查時應該覆蓋當前軟件的安全設計原則和安全配置文件的內容，應當考慮業務風險、過程風險和技術風險。
3）策略分解
將組織需要遵守的內部和外部政策，包括法律法規、隱私和遵從性命令分解成詳細的安全需求。這是一個連續化的結構化的過程。
4）數據分類
更具數據的生命周期管理對數據分階段劃分來決定安全需求。也可以根據數據的重要性等級的劃分來確定。

5）主客體關系矩陣
采用主/課題無關系矩陣來刻劃一個基于使用用例的主/客體之間的操作關系，在此基礎之上確立安全需求。

總結

以上是生活随笔為你收集整理的软件安全需求分析的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。