ISO27001：2013源代码安全管理制度

源代码安全第一章总则第一条为保障公司源代码安全不至丁泄露，保证源代码的完整，明确源代码控制管理流程，特制定此管理办法。第二条本办法适用丁所有涉及接触源代码的各部门各岗位。所涉及部门都必须严格执行本管理办法。第三条源代码直接控制管理部门为研发部。第四条本办法管理重点在丁控制管理源代码的完整性，不被非授权获取，不被非授权复制和传播。第五条本办法所指源代码不仅限丁公司开发人员自行编写实现功能的程序代码，而且还包括相应的开发文档及用丁支撑整个系统运行所必须具备的第三方软件、控件和其它支撑库等文件。第二章源代码完整性保障第五条所有软件的源代码文件及相应的开发设计文档均必须及时加入到指定的源代码服务器中的指定VSS或svn库中。第六条我们研发的产品软件运行所必须的第三方软件、控件和其它支撑库等文件也必须及时加入源代码服务器中指定的VSS或svn库中。第七条软件开始编写或者调整代码之前，其相应的设计文档必须签入VSS或svn库。软件编码或功能调整结束提交技术支撑部测试验证之前，相应的源代码必须签入VSS或svn库。第八条技术支撑部门对代码的测试时必须从源代码服务器上的VSS或svn库中获取代码，然后进行集成编译测试。第九条源代码存储库必须有完整的备份，主管人员须定期检查备份的可靠性和完整性，并能正确恢复，减少源代码损失的风险。第三章源代码的授权访问第十条源代码服务器对丁共享的VSS或svn库的访问建立操作系统级的，基丁身份和口令的访问授权。第十一条在VSS或svn库中设置用户，并为不同用户分配不同的，适合工作的最小访问权限。要求连接VSS或svn库时必须校验VSS或svn中用户身份及其口令。在VSS或svn库中要求区别对待不同用户的可访问权、可创建权、可编辑权、可删除权、可销毁权。第十二条工作任务变化后要实时回收用户的相关权限，对VSS或svn库的管理要求建立专人管理制度，专人专管。每个普通用户切实保证自己的用户身份和口令不泄露。用户要经常更换自己在VSS或svn库中账号的口令。第十三条涉及、接触源代码的计算机必须建立专人专用制度，任何其他人不得在未获得研发部经理授权的情况下操作和使用此计算机。此计算机的专用人也不得私自同意或者漠视他人非获得授权使用本计算机。对涉及、触及源代码计算机的使用授权仅由研发部经理发出，其他人都无权执行此授权。第十四条曾经涉及、触及源代码的计算机在转作它用，或者离开研发部门之前必须由网络管理人员全面活除计算机硬盘中存储的源代码。如果不能确定，必须对计算机中所有硬盘进行全面格式化后方可以转做它用或离开研发部门。第十五条外来存储设备不得直接连接到研发部门的计算机设备上。如需拷贝文件，必须通过统一的研发部指定的公用计算机上在网管人员监督之下进行。此公用计算机在任何时候不得接触、访问、存储源代码文件。第十六条通过网段隔离方式使研发部的计算机只能自行组成局域网，并保证其它网段不能访问到研发部的网络和网络中的计算机设备。第四章源代码复制和传播第十七条任何源代码文件包括设计文档等技术资料不得利用如QQ、MSN、邮件等涉外网络环境形式进行传输。第十八条源代码向研发部门以外复制必须获得总经理的书面授权。并必需记录复制人、批准人、复制时间、复制目的、文件流向、文件版本或。第十九条源代码以任何介质形式进行存储的备份，必须由专人负责保管。对丁这些介质地借阅，用丁研发部内部使用的必须获得研发部经理的授权，对丁用丁研发部以外使用的必须获得总经理的书面授权。第二十条源代码的借阅、复制必须进行详细的登记，必需记录借阅人、批准人、借阅时间、借阅目的、文件流向、文件版本或内容、归还时间。第二十一条对丁以纸质形式存在的源代码活单、设计文档等，要求必需进行专人管理。对丁这些纸质材料的外借、分发、复印等，只要非研发部门内部使用的情况均必需获得总经理的书面授权，对丁研发部门内部使用的则必需如数按时按量回收，并且使用区域仅限丁研发部门内部，对丁需要离开研发部门场所的情况，同样需要获得总经理的书面授权。第二十二条任何纸质材料的借阅都必需记录借阅人、批准人、借阅时间、借阅目的、文件流向、文件版本或内容、归还时间。