ISO-IEC 27034-1-2023 中文版 应用安全 第 1 部分：应用安全管理概述与概念

ISO/IEC27034-1:2023中文版应用安全第1部分：应用安全管理概述与概念一、指南编制前言与核心定位ISO/IEC27034-1:2023是国际标准化组织与国际电工委员会联合发布的应用安全系列标准总则基础性权威文件，作为整个ISO/IEC27034应用安全管理体系的第一核心分册与总纲依据，也是ISO/IEC27001信息安全管理体系在应用软件层面的专项细化延伸标准，专门针对企业应用软件种类繁杂、自研外购应用混杂、应用安全治理碎片化、安全与开发运营脱节、应用上线前无安全规范、运行后漏洞频发难治理、各类应用安全管控标准不统一、安全要求落地无统一依据等行业普遍性治理痛点，系统性搭建全球通用、全域适配、全生命周期贯通的应用安全顶层管理框架与基础统一概念体系。随着企业数字化业务全面线上化、业务应用微服务化、应用部署容器云原生化、自研软件快速迭代更新、第三方外购商用应用大批量接入、移动端办公应用广泛普及，应用软件已经成为企业业务流转、数据交互、用户对接、经营运转的核心核心载体，传统只重视网络边界防护、基础设施安全防护，忽视应用本身内生安全建设的粗放防护模式，已经完全无法抵御当前代码漏洞攻击、接口越权访问、应用注入攻击、恶意代码植入、第三方应用后门植入、迭代更新引入新增安全隐患等高频应用层网络威胁，大量企业因应用安全管理无统一标准、无统一概念口径、无统一治理框架，出现应用安全职责不清、管控要求不一、整改标准各异、安全左移落地困难、合规检查无法对标等一系列治理难题，严重制约企业整体信息安全防护体系闭环建设。本ISO/IEC27034-1:2023中文版应用安全管理概述与概念指南，严格遵循2023版国际原版标准全部总则性条款、基础定义规范、管理框架要求与顶层指导原则，不删减标准核心基础概念、不新增非标冗余管控内容，完整保留标准原生应用安全治理逻辑与顶层设计思路，同步适配国内《网络安全法》《数据安全法》《个人信息保护法》及网络安全等级保护应用安全管控要求、软件安全开发合规规范，深度衔接企业已落地的信息资产分类分级清单、变更管理控制程序、ISO/IEC27043DevSecOps安全管理指南、ISO/IEC27042容器与云原生安全管理指南、ISO/IEC27040存储安全指南、ISO/IEC27037数字证据取证指南等全套内部安全管理体系文件，实现应用安全顶层规划、概念统一认知、治理框架搭建、全流程协同管控与企业现有安全体系无缝衔接适配。本指南核心定位为企业应用安全体系整体规划搭建、全员应用安全统一认知宣贯、自研与外购应用安全治理对标、DevSecOps应用安全左移落地、各类应用差异化安全管控、应用安全合规审计对标、应用安全后续专项标准落地实施的顶层总纲与基础概念实操依据，摒弃形式化纸面化的标准照搬解读，重在指导组织统一全员应用安全基础认知、规范应用安全治理顶层逻辑、搭建全域统一的应用安全管理框架，为后续全生命周期应用安全管控、应用安全技术加固、应用风险处置整改筑牢概念基础与治理根基，构建应用内生安全、全域统一管控、开发运营安全协同、风险动态闭环的现代化应用安全治理全新格局。二、指南适用范围与内外体系适配对接本ISO/IEC27034-1:2023中文版应用安全管理概述与概念指南全域适用于各类企事业单位、数字化转型建设企业、互联网业务运营平台、金融医疗政务重点行业机构、工控软件运营单位、人工智能应用研发运营组织及所有自研开发、采购使用、运维管理、迭代升级各类应用软件的全部组织主体，覆盖企业高层安全决策管理部门、安全风控合规统筹部门、软件研发开发团队、DevSecOps运维运营团队、云原生容器应用运维团队、业务应用使用管理部门、第三方外购应用供应商协作单位、应用安全审计督查机构全层级管理与协作主体。在应用类型与部署场景覆盖层面，全面适配企业自研定制化业务管理应用、商用外购标准化办公业务应用、云原生微服务架构应用、容器化部署轻量化应用、移动端办公业务应用、网页端门户交互应用、工控生产专用业务软件、AI智能算法配套应用、数据统计分析管理应用等全类型应用软件形态，涵盖应用需求规划设计阶段、代码研发编码阶段、测试验收上线阶段、生产运行运维阶段、版本迭代更新阶段、应用下线退役阶段全应用生命周期管理场景，兼顾本地部署应用、混合云部署应用、公有云托管应用、边缘节点轻量化应用各类部署架构下的应用安全顶层治理与概念统一工作。在管理工作流程适配层面，适用于企业应用安全整体治理体系初次规划搭建、全员应用安全基础概念统一培训宣贯、应用安全管理组织职责划分、应用安全总体策略制定发布、自研与外购应用安全管控规则对标、应用安全与DevSecOps流程融合规划、应用安全风险分级管控顶层设计、应用安全合规对标自查整改、应用安全年度整体规划复盘优化等所有应用安全顶层管理工作，所有参与应用规划决策、研发编码开发、运维运营管理、应用采购选型、安全合规核查、应用迭代变更的在岗工作人员及各级管理岗位，均需严格遵照本指南概述要求与基础概念规范执行，所有自研应用、外购应用、云化应用、容器应用无例外、无豁免，全部纳入ISO/IEC27034标准统一应用安全治理框架范畴。本指南深度对接各类外部合规监管体系与企业内部既有管理体系文件，外部严格契合国家软件安全开发管理相关规定、网络安全等级保护应用层安全防护要求、个人信息处理应用合规管控规范、应用软件安全风险评估行业标准，确保企业所有应用安全治理顶层设计、基础概念认知、管理框架搭建完全符合监管常态化核查与专项合规检查硬性底线要求；内部全面衔接企业信息资产分类分级清单模板、变更管理控制程序、ISO/IEC27043DevSecOps安全管理指南、ISO/IEC27042容器与云原生安全管理指南、ISO/IEC27040存储安全指南、ISO/IEC27037数字证据识别收集保存指南、网络安全应急响应处置预案等既有体系文件，明确应用安全分级管控顶层匹配规则、应用安全与研发运维协同管理机制、云原生容器应用安全衔接治理要求、应用安全事件取证联动处置规则，确保应用安全顶层概述与基础概念管理工作和企业现有资产管控、漏洞治理、云原生防护、存储安全、数字取证各项工作无缝衔接、一体化协同推进，不重复建设管理体系、不出现应用安全治理与其他安全模块脱节断层、不产生应用安全管控盲区，形成应用安全、基础设施安全、研发运营安全、云原生容器安全、数据存储安全、数字取证安全全域一体化综合安全治理格局。三、核心专属标准术语与应用安全基础核心概念定义应用安全：指依据ISO/IEC27034-1:2023标准顶层治理要求，针对各类应用软件从规划设计、研发编码、测试上线、运行运维、迭代更新到下线退役全生命周期，通过组织管理、制度规范、流程管控、技术防护、风险处置、审计监督等一系列管控手段，防范应用软件自身代码缺陷、配置漏洞、权限滥用、接口风险、外部攻击、后门植入等安全隐患，保障应用软件功能合规运行、业务数据安全流转、用户访问合法可控、应用迭代安全稳定的综合性内生安全管理体系，区别于网络边界安全与硬件基础设施安全，聚焦应用程序本身内生脆弱性与业务交互安全核心维度。应用软件：指组织自研开发或外部采购获取，用于实现业务经营、办公管理、数据处理、用户交互、生产运营各类业务功能的软件程序、代码集合、功能模块、微服务组件、移动端程序与网页应用的统称，是应用安全管控的核心基础对象，涵盖单体传统应用与云原生分布式微服务应用两大类核心形态。组织规范框架：指ISO/IEC27034-1:2023标准定义的企业应用安全顶层核心治理架构，是组织统一制定、集中管控、全域适用的应用安全策略集合、管控基线、规范制度、合规要求总合集，作为所有应用软件安全管理的统一基准依据，确保全企业各类应用安全治理标准统一、口径统一、执行统一。应用规范框架：指基于组织规范框架衍生适配，针对单一业务应用或单类应用品类量身细化的专项安全管控细则，结合应用业务重要等级、数据敏感程度、部署运行环境差异化适配通用安全要求，兼顾应用业务运行效率与专属安全防护刚需。应用安全控制措施：指为实现应用安全防护目标，针对应用研发、上线、运维、迭代各环节制定的管理类、技术类、流程类安全管控手段与防护规则，涵盖访问控制、安全编码、漏洞修复、接口防护、数据加密、权限管控、日志审计等全类型防护动作，是应用安全落地执行的具体实操依据。应用全生命周期安全：指将应用安全管控要求原生融入应用软件规划、设计、开发、测试、发布、运行、运维、迭代、退役全部阶段，摒弃上线后事后补救的被动防护模式，推行安全左移前置管控的核心应用安全治理理念。自研应用安全：指企业内部研发团队自主编码开发的定制化业务应用专属安全管控范畴，重点管控代码安全、开发流程安全、编码规范安全、迭代变更安全等源头内生安全风险。外购商用应用安全：指从第三方供应商采购接入的标准化商用软件、付费业务应用、云端SaaS应用专属安全管控范畴，重点管控供应商资质安全、软件后门排查、漏洞修复协同、服务接口安全、数据共享安全等外部供应链应用安全风险。应用安全内生防护：指安全能力内嵌于应用代码开发与程序运行底层，依靠应用自身安全机制抵御外部攻击与内部违规操作，而非单纯依赖外部防火墙、防护设备的外挂式防护模式，是ISO/IEC27034标准核心治理理念。应用安全风险：指应用软件自身存在代码漏洞、配置缺陷、权限粗放、接口开放、运维不规范等问题，被内外恶意人员利用，造成应用异常瘫痪、业务中断、数据泄露篡改、违规越权访问、合规处罚等各类安全危害的可能性与影响程度总和。应用安全合规对标：指组织应用安全管理体系、管控措施、基础要求对标ISO/IEC27034系列标准及国内监管合规要求，完成制度适配、流程整改、管控落地、审计达标的全流程合规管理工作。四、ISO/IEC27034-1:2023六大顶层核心治理基本原则本标准作为应用安全系列标准总纲，所有应用安全顶层规划、概念落地、体系搭建、治理决策、管控实施工作必须严格遵循六大刚性顶层核心治理基本原则，任何应用安全管理策略制定、权责划分、流程设计、管控调整均不得偏离基础准则，保障企业应用安全治理架构科学合理、概念认知统一规范、落地实施适配业务、长效运营动态可控。第一，统一框架、全域对标原则，组织必须搭建唯一统一的应用安全组织规范框架，全企业所有自研、外购、云化、容器化各类应用软件全部对标同一套顶层安全基准要求，杜绝不同业务部门各自制定应用安全规则、治理标准杂乱不一、安全管控各自为政的碎片化治理问题，实现全组织应用安全治理一盘棋、标准一体化。第二，内生安全、左移前置原则，彻底改变传统应用安全重运维、轻开发，重外挂防护、轻内生建设的老旧防护模式，坚持应用安全左移治理理念，将安全管控前置融入应用规划设计与研发编码源头阶段，从代码底层减少应用安全漏洞与缺陷，筑牢应用内生安全防护根基，从源头降低后续运行阶段安全治理压力。第三，分级分类、差异适配原则，结合企业信息资产四级分类分级标准，按照应用软件业务重要程度、承载数据敏感等级、对外暴露风险级别实行差异化应用安全治理强度与管控标准，核心涉密高风险应用执行最严苛安全管控要求，基础办公低风险应用简化适配管控流程，平衡应用业务快速迭代发展需求与应用安全刚性防护要求。第四，全程协同、研运一体原则，坚持研发、运维、安全三方协同治理理念，打通DevSecOps全流程协同通道，消除研发重功能轻安全、运维重稳定轻整改、安全重管控轻落地的部门壁垒，实现应用开发、上线运维、安全防护三方工作同步规划、同步实施、同步整改、同步复盘。第五，全程留痕、可审可溯原则，所有应用安全策略制定、应用开发安全管控、应用漏洞整改、应用权限调整、应用迭代变更、应用下线处置全流程操作全程记录留痕、归档留存，做到应用安全事件可追溯、违规操作可审计、安全责任可追责，满足合规审计与安全事件应急溯源双重要求。第六，动态迭代、持续优化原则，应用安全治理不采用静态固化管理模式，随着应用软件版本持续迭代、新型应用层攻击手段不断演变、业务应用架构持续升级、云原生容器应用不断新增，常态化优化应用安全顶层框架、管控规范、防护策略，持续适配ISO/IEC27034-1:2023标准最新治理要求，保持应用安全治理体系长效适配、动态防护、持续可控。五、应用安全管理组织架构与全岗位顶层安全职责划分组织需依据ISO/IEC27034-1:2023标准顶层治理架构要求，搭建层级清晰、权责到岗、研运安三方协同、全域统一管控的应用安全专项治理组织架构，涵盖高层决策管理层、安全风控合规应用安全统筹部门、软件研发DevSecOps团队、应用运维运营管理团队、云原生容器应用运维团队、业务应用使用管理部门、第三方外购应用供应商协作单位七大核心责任主体，各司其职、协同履职，压实企业应用安全顶层规划、概念落地、体系建设、日常管控全生命周期主体责任。企业高层决策管理层承担应用安全治理顶层决策统筹核心职责，负责审批企业整体应用安全中长期建设规划、应用安全统一组织规范框架、应用安全防护资源预算调配、核心关键应用重大安全整改方案、应用安全重大事故追责处置决定，统筹协调研发、运维、安全跨部门应用安全协同治理重大问题，对企业整体应用安全治理成效负总责，定期听取应用安全年度复盘工作报告，推动应用安全治理体系持续优化升级，保障企业业务应用快速迭代发展与应用安全合规管控协同平衡。安全风控合规应用安全统筹部门作为应用安全专项治理牵头统筹部门，负责对标ISO/IEC27034-1:2023标准完善企业应用安全顶层管理制度、统一应用安全基础概念宣贯、搭建组织规范框架与应用专项规范框架、制定应用安全分级管控基线、统筹应用安全风险评估与合规对标工作；组织全员应用安全基础概念培训与警示教育、常态化应用安全巡检与年度合规审计工作；精准判定各类应用软件安全风险等级与整改优先级；监督研发运维部门应用安全整改落实进度与质量；对接监管部门应用安全合规核查迎检工作；归档所有应用安全顶层治理与日常管控全流程资料，常态化核查应用安全违规管理、违规操作行为并依规追责问责。软件研发DevSecOps团队承担自研应用源头安全主体职责，严格遵循应用安全左移原则，按照统一应用安全规范框架开展应用需求设计、代码编码开发、安全编码自查、应用安全测试工作；严格落实安全开发规范，杜绝代码高危漏洞、硬编码密钥、后门代码、违规配置等源头安全隐患；配合安全部门完成自研应用安全扫描、漏洞整改、上线安全核验工作，严禁未达标不安全自研应用上线投产运行，从研发源头筑牢自研应用安全根基。应用运维运营管理团队承担应用生产运行阶段安全运维主体职责，负责生产环境各类应用软件日常运行监控、应用权限日常管控、应用配置安全维护、应用漏洞整改落地、应用运行异常处置工作；严格遵循应用安全最小权限原则配置应用访问策略，严禁私自修改应用安全配置、放宽应用访问权限、绕过安全流程迭代更新应用；应用版本迭代变更严格遵循企业变更管理控制程序，提交对应安全审批；配合安全部门开展应用安全复测、应急处置工作，保障各类应用持续安全稳定运行。云原生容器应用运维团队承担云原生与容器化应用专项安全职责，联动ISO/IEC27042容器与云原生安全管理指南，负责云原生微服务应用、容器化部署应用专项运维安全管控，落实容器应用专属安全规范与隔离防护要求，做好云原生应用安全与容器集群安全协同治理工作。业务应用使用管理部门承担业务应用使用需求提报与日常合规使用职责，提报应用新建、迭代、扩容需求时同步明确安全合规要求，不强制要求违规放宽应用安全策略、跳过安全审批与安全测试流程，日常规范使用业务应用，不违规越权操作、不私自篡改应用业务数据。第三方外购应用供应商协作单位需严格按照本组织应用安全统一规范框架要求，做好商用应用研发运维、漏洞及时修复、后门隐患排查、应用安全升级迭代工作，定期同步外购应用安全运维报告与漏洞整改情况，配合我方开展外购应用安全核验与应急处置工作，对外购应用原生安全风险按照合作协议承担对应安全责任。六、ISO/IEC27034-1:2023应用安全标准化顶层全周期治理逻辑按照ISO/IEC27034-1:2023标准总则核心顶层治理逻辑，组织应用安全管理严格执行应用安全统一框架规划搭建、全员基础概念统一宣贯、应用资产全面摸排梳理、应用分级分类顶层定级、应用安全管控规则细化、应用研发源头安全前置、应用运行运维常态防护、应用迭代变更安全管控、应用安全年度审计复盘、应用下线退役安全闭环十大标准化顶层治理闭环环节，环环相扣、全程内嵌安全管控理念、不留应用安全顶层治理断点，实现安全治理逻辑贯穿应用体系规划、概念统一、日常管控、迭代优化、下线退役全流程。第一环节为应用安全统一框架规划搭建，企业依据标准总则要求，结合自身业务应用现状，搭建全域统一的应用安全组织规范顶层框架，明确全企业应用安全统一治理标准、核心管控方向与合规红线，框架未评审落地不得开展后续任何应用安全细化管控工作，筑牢应用安全治理顶层根基。第二环节为全员应用安全基础概念统一宣贯，针对管理、研发、运维、业务所有在岗人员，开展ISO/IEC27034-1标准基础概念、核心原则、治理逻辑专项培训，统一全员应用安全认知口径，消除岗位之间安全认知偏差，确保所有人员理解应用安全内生治理与左移管控核心要求。第三环节为应用资产全面摸排底数梳理，全面清查企业自研、外购、云化、容器化所有应用软件资产，建立应用安全专项资产台账，明确每一款应用部署环境、业务用途、数据等级、风险现状，做到应用资产底数清晰、风险情况明了、管控对象全覆盖无遗漏。第四环节为应用分级分类顶层安全定级，依据资产分级标准对所有应用完成安全等级定级，划分核心涉密、重要业务、常规办公、基础辅助四级应用等级，为后续差异化安全管控提供定级依据，杜绝一刀切粗放治理模式。第五环节为应用安全管控规则细化适配，基于统一顶层框架与应用定级结果，为不同等级应用细化专属应用规范框架，适配差异化研发、上线、运维、整改安全管控要求，兼顾安全防护与业务运营效率。第六环节为应用研发源头安全前置管控，落实安全左移理念，将安全要求前置融入应用需求设计、编码开发、测试验收全研发流程，从源头消减应用代码漏洞与安全缺陷。第七环节为应用运行运维常态安全防护，应用上线生产运行后，常态化开展应用漏洞扫描、安全监测、权限复核、日志审计工作，及时处置应用运行阶段各类安全风险与异常访问行为。第八环节为应用迭代变更安全闭环管控，应用版本升级、功能调整、配置修改迭代工作，严格履行变更审批、安全测试、漏洞复测流程，杜绝迭代变更跳过安全环节引入新增安全隐患。第九环节为应用安全年度审计复盘优化，每年对标ISO/IEC27034-1标准开展应用安全合规审计，梳理治理短板与薄弱环节，优化应用安全顶层框架与管控规则，持续完善治理体系。第十环节为应用下线退役安全闭环处置，应用停止使用下线退役阶段，做好应用数据备份清理、权限注销、配置归档、资产台账注销工作，完成应用全生命周期安全治理最后一环闭环管控。七、应用资产四级分级差异化顶层安全管控基准要求依据ISO/IEC27034-1:2023标准差异化风险治理核心导向，结合企业信息资产四级分类分级管理体系，对核心绝密涉密应用、核心重要业务应用、常规一般业务应用、基础办公辅助应用实行四级差异化顶层安全管控基准，匹配不同治理严格程度、安全审批层级、研发安全管控强度、运维审计频次、整改处置优先级，适配不同应用业务价值与数据安全防护刚需，平衡应用安全治理严谨性与业务迭代运营效率，不搞同质化一刀切粗放治理模式。核心绝密涉密应用涵盖企业核心经营涉密业务处理应用、用户核心敏感隐私数据管理应用、核心AI算法模型训练管控应用、关键生产工控核心控制应用，属于应用安全最高管控等级，适用ISO/IEC27034标准最严苛顶层治理基准，应用安全框架专项深度定制适配、研发阶段多重安全审核与代码人工审计、上线前全量安全渗透测试、运行阶段7×24小时实时安全监测、每日应用安全基线复测、任何高危及中危漏洞即刻停工整改复测、应用迭代变更企业高层终审审批、应用操作全程双人复核审计，绝不允许涉密核心应用带任何安全隐患运行，严防核心应用被攻击入侵、数据泄露、业务失控等重大安全事故发生。核心重要业务应用涵盖企业主营业务交易处理应用、客户核心服务运营应用、财务资金核算管理应用、AI业务推理服务应用，属于应用安全高管控等级，适用强化版应用安全治理基准，应用安全框架标准化专项适配、研发阶段自动化安全扫描加重点代码抽查、上线前常规安全渗透测试、运行阶段全天候安全监测每周合规复测、高危漏洞强制立即整改闭环、中危漏洞限期整改、应用迭代变更安全部门与分管领导双重审批、应用运维操作全程审计留痕，严控核心业务应用安全风险，平衡核心业务快速迭代需求与高强度安全防护管控要求。常规一般业务应用涵盖部门级业务管理应用、非核心数据统计办公应用、通用轻量化业务流程应用，属于应用安全中低管控等级，适用标准版常规治理基准，简化应用框架专项定制流程、研发阶段基础自动化安全扫描、上线前基础安全核验、高危漏洞必须整改闭环、中低危漏洞纳入月度批量整改、应用迭代变更部门级审批即可、每月应用安全常规复测达标即可，适度简化管控流程提升常规业务应用迭代运营效率。基础办公辅助应用涵盖日常办公协同应用、内部普通通知流转应用、轻量化办公辅助工具应用，属于应用安全低管控等级，适用简化基础治理基准，仅落实应用安全基础框架适配、基础安全编码与权限管控、定期基础漏洞排查基础要求，无需高强度安全审核与高频复测，落实应用安全基础合规底线即可，最大程度降低安全治理人力成本，聚焦核心涉密及重要应用安全专项治理工作。八、自研与外购两类应用专项差异化基础治理规范ISO/IEC27034-1:2023作为应用安全总纲，重点明确自研开发应用与外购商用应用两类核心应用形态必须实行专项差异化基础治理规范，针对性解决两类应用安全风险来源不同、治理责任主体不同、管控落地方式不同的差异化治理痛点，消除不同类型应用安全治理管控盲区，实现全品类应用安全治理全覆盖。自研定制化应用专项基础治理方面，严格遵循安全左移与内生安全核心理念，治理重心放在研发源头管控环节，企业依托自身DevSecOps研发团队，严格按照统一应用安全组织规范框架制定自研应用专属开发安全规范，明确安全编码标准、代码审查要求、安全测试基线、迭代变更安全规则，研发全过程同步开展安全管控工作，从代码编写源头规避高危漏洞、违规配置、后门植入等内生安全隐患；自研应用所有版本迭代、功能新增、代码修改必须同步开展安全复测与漏洞扫描，未达标不得发布上线；运维阶段强化自研应用权限精细化管控、操作日志全程留存、漏洞常态化整改闭环，自研应用安全治理全程由企业研发与安全部门主体负责，全程可控、全程可管、全程可改，深度联动ISO/IEC27043DevSecOps安全管理指南实现研运安全一体化治理。外购商用第三方应用专项基础治理方面，治理重心放在供应商准入管控、应用前置安全核查、后续协同整改管控三大核心环节，企业在供应商选型准入阶段，严格按照应用安全统一框架要求核查供应商安全资质、软件安全开发能力、过往应用安全隐患记录，建立外购应用安全准入黑名单，安全管控不达标供应商严禁合作接入；外购应用上线前必须开展专项安全检测、漏洞扫描、后门排查工作，检测不合格、漏洞不整改的外购应用严禁上线投产运行；应用运维阶段，企业与供应商签订应用安全专项约束协议，明确漏洞修复时限、安全升级要求、应急协同处置责任，督促供应商及时修复应用原生安全漏洞，我方安全部门常态化开展外购应用安全抽查核验，严防第三方应用自带后门、隐性漏洞、远程越权访问等供应链安全风险；外购应用数据交互严格落实数据隔离与加密传输要求，严防外购应用对接过程中核心业务数据泄露篡改，外购应用下线退役同步做好数据清理、权限注销、合作终止安全闭环管控，