《中国金融》｜姚前：测试标准化确保资本市场信息安全( 二 ) 作者

2019年，证监会发布《证券期货业软件测试规范》金融行业标准，通过规范证券期货业信息系统建设过程中的总体要求、单元测试、集成测试、系统测试、系统集成测试、验收测试等测试活动的内容，有效提高了行业软件测试过程的标准化程度，为资本市场相关机构解决了软件测试“做什么”的问题。为了增强该标准的可读性，以及完善测试类型的细节内容，解决各种测试类型“怎么做”的问题， 2020年证监会组织编制并发布了《证券期货业软件测试指南软件安全测试》（JR/T0191-2020）金融行业标准。该标准为《证券期货业软件测试规范》下的指南性文件，为行业软件安全测试确定了标准化实施流程，为信息系统软件安全测试提供了参考依据，弥补了行业软件安全测试领域标准的缺失，满足了行业单位针对软件安全测试的指导要求。
软件安全测试标准化提升全行业风险防范能力
建立适用于证券期货行业的软件安全测试标准，可为资本市场提供软件安全测试流程、技术、内容和文档参考，提高行业软件安全测试过程认知水平，促进行业软件测试水平整体提升，从而降低行业信息系统运行风险。
《证券期货业软件测试指南软件安全测试》2016年立项，前后历经了4年的不断完善，于2020年正式发布。标准编写过程中，有关部门结合网络信息安全领域多年的经验沉淀以及目前资本市场对软件安全测试的现实需求，分别对资本市场核心机构、经营机构以及信息技术服务机构制定不同的测试策略。其中核心机构是指证券期货交易所、证券登记结算机构、期货市场监控中心等；经营机构指证券公司、期货公司、基金公司等；信息技术服务机构指为资本市场提供产品和服务的软件开发商、信息商、服务商等。同时，这套标准还结合不同的被测系统分别制定不同的标准化流程，被测系统类型涵盖了核心交易类（实时交易系统）、核心业务类（清算、监察、期货交割等）、业务交互类（交易行情终端、移动终端、会员服务、电子仓单、柜台系统、资管系统等）、网站查询类（数据查询、机构网站等）等。
《证券期货业软件测试指南软件安全测试》不仅仅解决了“做什么”的问题，而且通过完善的、具备指导意义的详细内容解决了“怎么做”的问题。在该标准推出之前，资本市场各机构软件安全测试的方法和力度存在片面性，无法有效保障软件的安全。新标准的推出实现了测试流程合理、测试内容齐备、测试输入及方法标准化、测试输出明确。同时为了兼顾软件测试标准的可读性和操作指导意义，该标准从流程和技术两个方面指导软件安全测试的开展。一方面，标准以软件安全测试流程为主线，明确了每个阶段的操作流程、方法和产出（见图2）；另一方面，从测试技术的角度，详细指导每一种安全测试技术的具体实施方法，包含测试目标，测试方法和结果判定原则。
在测试技术方面，该标准详细描述了软件安全测试的各关注点，包含每一关注点的测试目的、测试要求和评价标准。具体包括身份认证安全、通信安全、业务逻辑安全、存储数据安全、算法安全、源代码安全等17个部分（见图2）。

文章图片

文章图片
同时，基于移动应用的特点，标准描述了移动应用特有的测试关注点，也包含每一关注点的测试目的、测试要求和评价标准，具体包括运行环境安全、安装卸载安全、组件安全、权限安全、第三方库安全、安装包安全六个部分。