【软件系统安全测试管理规范】
1. **概述**
- **编写目的**：制定此规范旨在规范软件系统安全测试流程，明确各岗位职责，通过标准化文档管理，提高测试效率，减少项目风险，确保智能信息化系统建设项目的安全性。
- **适用范围**：本规范主要应用于智能信息化系统建设项目的软件安全测试管理，适用于处理学校核心业务和敏感信息的软件系统。
- **角色定义**：
- **总集PM**：负责整个业务系统的项目经理。
- **信息中心PM**：信息中心内部负责业务系统的项目经理。
- **信息中心主任**：信息中心的负责人。
- **厂商接口人**：软件供应商与学校对接的负责人。
- **安全测试人员**：安全测试团队的成员，执行具体的测试任务。
- **参考资料**：提供参考的文件和其他相关资料，用于指导安全测试工作。
2. **项目背景**
- **校园信息化现状**：校园内存在大量处理敏感信息（如账户、隐私、科研、薪资等）的软件，安全测试对于防止业务中断和数据泄露至关重要。
- **目标**：通过规范化的软件系统安全测试管理，提升安全测试水平，有效控制潜在风险，增强系统安全性。
3. **软件系统安全测试流程**
- **测试准备**：
- **确定测试对象**：明确要测试的软件系统及其组件。
- **测试范围**：界定需要进行安全测试的功能和模块。
- **工作权责**：分配测试人员的任务，明确各自职责。
- **测试方案**：
- **编制方案**：根据要求编写《安全测试方案》，涵盖测试策略、方法和预期结果。
- **方案审批**：完成方案后，需获得相关人员批准。
- **测试计划**：
- **协调资源**：基于批准的测试方案，协调测试人员的时间，制定详细的测试计划。
- **实施测试**：
- **执行测试**：按照测试计划进行各项安全测试，记录测试结果。
- **输出报告**：形成《软件安全测试报告》，详述测试过程和发现的问题。
- **回归测试**：
- **问题修复验证**：对已修复的安全问题进行验证，确保问题已得到解决且不会引起新的问题。
4. **测试准备的详细步骤**
- **测试对象**：包括但不限于应用程序、数据库、网络服务等。
- **测试范围**：根据软件功能和安全需求确定需要测试的领域，如输入验证、权限控制、数据加密等。
- **工作权责**：定义PM、测试人员、开发人员等的角色和责任，确保协作顺畅。
5. **测试方案的内容**
- **测试准备**：列出测试前的准备工作，如环境配置、工具选择等。
- **测试分析**：分析系统可能存在的安全漏洞，制定测试策略。
- **制作测试用例**：设计具体的安全测试用例，覆盖各种安全场景。
- **实施测试方法**：选择合适的测试方法，如黑盒测试、白盒测试、灰盒测试等。
- **回归测试方法**：在代码修改后，执行的测试确保系统稳定性和安全性未受影响。
6. **测试计划和实施**
- **测试计划**：详细规划测试活动的时间表，包括每个阶段的开始和结束日期。
- **实施测试**：执行测试用例，记录测试结果，包括成功、失败和异常情况。
7. **测试总结**
- **评估测试效果**：汇总测试结果，分析测试覆盖率，评估测试的有效性。
- **提出改进建议**：根据测试过程中发现的问题，提出改善措施和未来测试的优化建议。
综上，软件系统安全测试管理规范是确保软件系统安全的关键，涵盖了从测试准备到测试总结的全过程，通过明确的角色分工和严谨的测试流程，旨在提高系统的安全性能，防止潜在的安全风险。
