IT项目需求规格说明书模板

资源描述

需求规格说明书 ISO QP08v08 表 1 密级内部保密需求规格说明书文件编号Aostar YinHai 项目管理文件名称 XXXX 系统需求规格说明书版本号 v0100 编制日期项目编号 09080001P 项目名称信息管理系统项目经理立项日期修订历史记录日期版本号作者说明 2009 01 01 v0100 张三最初版本审核日期批准日期开发单位四川启明星银海科技有限公司 Aostar YinHai Information Technologies Co Ltd XXXXX 项目需求规格说明书 ii 目录需求规格说明书 i 1 引言 4 1 1 编写目的 4 1 2 文档构成 4 1 3 预期读者 5 1 4 术语及缩略词 5 2 相关现状说明 6 2 1 相关机构及岗位说明 6 2 2 目前网络及部署环境 6 2 3 相关应用及信息化建设情况 6 3 需求总体说明 7 3 1 技术要求 7 3 2 规范及标准性要求 7 3 3 系统边界与接口 8 4 功能需求 12 4 1 需求概述 12 4 2 需求清单 12 4 3 需求单元编号子系统名称 14 5 非功能需求 23 5 1 运行要求 23 5 2 数据精度要求 24 5 3 性能要求 26 5 4 安全性要求 27 5 5 可靠性要求 30 5 6 可维护性要求 30 5 7 易用性要求 31 5 8 备份要求 32 5 9 其它要求 32 XXXXX 项目需求规格说明书 iii 6 集成需求 41 6 1 应用集成平台 41 6 2 企业门户集成 42 6 3 目录服务集成 43 6 4 数据中心集成 43 7 部署及运行环境 43 8 附件 43 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 4 页共 42 页 1 引言 1 1 编写目的需求规格说明书是标准化设计工作从业务建模过渡到系统设计的转折点需求规格说明书在业务模型说明书的基础上针对业务本质进行系统信息化实现抽象进行全面的需求分析工作包括进行功能需求分析业务功能需求系统支撑需求等进行数据需求分析数据类需求数据处理需求代码需求等进行系统非功能需求分析集成需求性能需求安全需求其他系统需求等提供优化的业务功能和非功能需求标准规范需求规格说明书对标准化设计工作进行需求约束和界定为标准化设计项目接下来的功能精化设计数据模型设计 IT 架构设计系统编码设计系统安全设计提供完整的系统需求需求分析同时也反过来促进的业务模型的完善在标准化设计过程中发挥着承上启下的关键作用需求规格说明书为各应用系统开发实施提供业务功能需求模型和系统需求模型确保系统最终业务功能实现思路一致同时作为实施阶段系统测试和用户文档的重要依据是设计后续实现和验证的基础是对未来运行系统进行评测评价和验收的基础 1 2 文档构成系统需求从以下几个方面来描述功能需求指满足用户业务需求而必须具有的特性常用交互场景方式描述系统的输入输出行为包括业务功能需求及非业务功能需求业务功能需求针对每个业务环节系统应实现的具体需求非业务功能需求支撑系统正常运行的公共功能为业务功能实现提供统一共享的公共服务需求包括工作流日志管理权限管理等功能模块以业务子项或业务子子项为依据根据具体使用角色的需要进一步细化的功能需求描述 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 5 页共 42 页功能点功能交互场景中每个步骤的详细描述每个功能点通常包括操作动作和系统响应基本功能点基本路径功能点用例完成的关键路径也是用户期望的路径一个基本功能点表示一个系统动作或表现交互辅助功能点扩展路径功能点非功能性需求是指软件产品为满足用户业务需求而必须具有且除功能需求以外的特性软件产品的非功能性需求包括系统的性能可靠性安全性可维护性易用性备份要求集成要求等数据需求在各业务处理环节中针对业务处理对象和业务处理过程所产生的数据 1 3 预期读者需求规格说明书预期读者为业务专家系统设计分析人员以及系统实施厂商的设计开发测试人员 1 4 术语及缩略词缩写词英文解释中文解释 API Application Programming Interface 应用编程接口 ASCII American Standard Code for Information Interchange ASCII 码 B S Browse Server 浏览器服务器 C S Client Server 客户机服务器 CMM Capability Maturity Model 能力成熟度模型 CPU Central Processing Unit 中央处理器 IEEE Institute of Electrical Electronics Engineers 电气与电子工程师协会 IP Internet Protocol 网际协议 ISO International Standardization Organization 国际标准化组织 LAN Local Area Network 局域网 LCD Liquid Crystal Display 液晶显示器 MAC Media Access Control 网络适配器地址 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 6 页共 42 页 MIS Management Information System 管理信息系统 RAID Redundant Array of Independent Disks 冗余磁盘阵列 TCP Transmission Control Protocol 传输控制协议 TCP IP Transmission Control Protocol Internet Protocol 传输控制协议网际协议 UPS Uninterrupted Power System 不间断电源系统 USB Universal Serial Bus 通用串行总线 VLAN Virtual Local Area Network 虚拟局域网 VPN Virtual Private Network 虚拟专用网 XML eXtended Markup Language 扩展标记语言 2 相关现状说明对项目应用部署可能依赖的现有环境现有客户管理环境相关业务现状等做出详细的描述如果是在一定应用基础上建设还需要对依赖的基础进行细致的说明例如原始设计资料等可以以附件形势提供此部分内容包含且不限于以上内容 2 1 相关机构及岗位说明对项目应用相关的组织机构的描述力求兼顾现状和发展切身相关的职位岗位人员等需要具体说明并将其职责清晰描述依据项目相关性充分考虑到企业信息化和项目的发展制作项目相关的单位部门及相关岗位的机构说明也可以采用如下的组织关系图做总索引对相关的单位部门岗位情况做详细的说明说明要具体清晰特别是相关岗位的职责以及具体负责的相关事务等内容 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 7 页共 42 页 2 2 目前网络及部署环境对项目部署依赖环境的说明必须清晰的表述目前环境和将要部署环境的差异以及和项目相关的网络服务器及其他相关配置的具体情况用户方是否会有相关的环境调整和发展计划相关本项目的部分也要具体清晰说明例如具体服务器的配置情况等 2 3 相关应用及信息化建设情况这部分应详细描述系统相关且具有依赖性或关联性的信息化建设情况如果较多可以采用此处概述附件详细说明的形势 3 需求总体说明项目总体技术要求性能安全及标准和规范性要求以及项目相关的其他总体性的要求这部分往往涉及到客户最关注的整体指标性的要求所以描述应力求清晰此部分包含且不限于以下内容根据实际项目情况增补 3 1 技术要求包括技术路线技术标准技术限制包括数据库操作系统中间件等等相关的技术指标要求技术要求技术路线 B S 和 C S 相结合的方式以 B S 为主技术标准 Hibernate Struts Spring ajax Adobe Form 开发工具 eclipse 3 1 MyEclipse JBuilder 2006 Drameware 数据库 Oracle 10g Microsoft SQL Server 2000 Sybase 12 0 中间件 Weblogic Portal Server JBoss 4 1 Tomcat 6 0 客户端 Internet Explorer 6 0 7 0 Firefox Microsoft XML Parser 4 0 消息交易中间件 BEA Tuxedo IBM MQSeries 东方通 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 8 页共 42 页 3 2 规范及标准性要求此部分描述和项目相关的用户规范性及标准性的要求如果有相关的电子资料以附件形式提供或者引用说明便于设计和开发人员参考凡是注日期的引用文件其随后所有的修订版均不适用于本标准然而鼓励根据本标准达成协议的各方研究是否可使用这些文件的最新版本凡是不注日期的引用文件其最新版本适用于本标准参考文件版本作者 XXXX 技术规范书 XXXX 技术协议 XXXX 用户调研报告 XXXX 会议纪要 XXXX 建设方案国家电网公司十一五信息发展规划 2006 年国家电网公司应用软件通用安全要求 2006 年电网企业信息系统等级保护技术要求 2002 年电网调度管理条例 1993 第 115 号中华人民共和国国务院令电力监管条例 2005 第 432 号中华人民共和国国务院令 GB T 8567 2006 计算机软件文档编制规范 2006 年 GB T 11457 2006 软件工程术语 2006 年 GB T 18336 2 2001 信息技术安全技术信息技术安全性评估准则第 2 部分安全功能要求 GB T 18336 2 2001 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 9 页共 42 页 3 3 系统边界与接口清晰描述该项目业务和用户其他业务应用之间的关系以及该项目内部业务功能之间的关系对于多层次管理应用和多层次部署要求的项目应当针对业务功能模块明确各个业务功能模块在不同级别应用上的区别和共性可以以图示方式说明但是要求必须准确和清晰利用本节来确定可以保证新产品与外部组件正确连接的需求关联图表示了高层抽象的外部接需要把对接口数据和控制组件的详细描述写入数据字典中如果产品的不同部分有不同的外部接口那么应把这些外部接口的详细需求并入到这一部分的实例中例如 S K 2 0 0 0 井场端 C M S A L SS W 业务数据上报管理系统视频传输摄像头摄像头视频监控录井专业数据库基地端实时数据库其他 W E B 应用流媒体服务实时数据采集与预警系统录井资料管理系统人工填报数据导入生产指令接收系统接收查询消息传输实时数据传输防火墙实时数据发布接口服务实时数据监控与预警门户查询管理监控中心一般用户管理员视频集成生产指令发布管理系统数据迁移工具管理者数据管理员卫星传输实时数据采集管理维护软件 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 10 页共 42 页图 1 系统功能结构图如上图所示为实时数据采集以及预警在井场信息远传及网络发布系统中所起作用以及地位实时数据采集与预警系统对于实时数据采集实现典型的综合录井仪实时数据采集从而完成典型的综合录井仪数据接入包括 SK SW CMS ALS 2 并将其数据格式转换成标准的符合实时数据库模型的数据格式对于预警监控每口井的工程状况发现工程异常后进行预警并将预警结果信息写入到实时数据库实时数据采集预警管理维护软件主要是提供可视化界面的方式对实时数据采集预警系统进行管理和维护 3 3 1 主业务流程清晰描述该项目业务和用户其他业务应用之间的关系以及该项目内部业务功能之间的关系对于多层次管理应用和多层次部署要求的项目应当针对业务功能模块明确各个业务功能模块在不同级别应用上的区别和共性可以以图示方式说明但是要求必须准确和清晰 3 3 2 硬件接口描述系统中软件和硬件每一接口的特征这种描述可能包括支持的硬件类型软硬件之间交流的数据和控制信息的性质以及所使用的通信协议 3 3 3 软件接口描述该产品与其它外部组件由名字和版本识别的连接包括数据库操作系统工具库和集成的商业组件明确并描述在软件组件之间交换数据或消息的目的描述所需要的服务以及内部组件通信的性质确定将在组件之间共享的数据例如 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 11 页共 42 页 3 3 3 1 例与实时数据库消息中间件的接口实时数据采集后将解析其数据格式按照实时数据库模型进行数据格式标准化包括名称单位等并生成如下格式可以为两种格式 xml csv 注 1 生成数据其标签名应符合如下格式参数名井号注 2 Xml 格式 2008 09 22 13 01 29 1 Good 注 3 CSV 格式 Data TimeStamp DataQuality Value 参数名井号 2008 09 25 09 10 20 good 1 参数名井号 2008 09 25 09 10 25 good 1 参数名井号将生成的标准格式的数据字节流通过消息中间件传输到基地并生成文件由实时数据采集器进行采集 3 3 4 通信接口描述与产品所使用的通信功能相关的需求包括电子邮件 We b 浏览器网络通信标准或协议及电子表格等等定义了相关的消息格式规定通信安全或加密问题数据传输速率和同步通信机制 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 12 页共 42 页 4 功能需求 4 1 需求概述需求分三级展开子系统模块业务用例子系统需要描述该子系统需要实现哪些功能点用到的业务名称解释以及整个系统涉及的总体业务流程模块需要描述该模块需要实现哪些功能点以及该模块涉及的业务流程模块级核心算法等业务用例描绘描述具体功能点的业务需求 4 2 需求清单 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 13 页共 42 页需求编号需求名称子系统模块优先级版本号修改人员 r90030011 用户管理高中低 v0100 张三工作流管理 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 14 页共 42 页 4 3 需求单元编号子系统名称 4 3 1 概述描述该系统的实现的主要功能点起提纲作用 4 3 2 专有定义和解释对于本单元中涉及到的专有名字或内容做出专业性质的解释 4 3 3 业务活动以及业务流程以 VISIO 或者 WORD 图形方式细致展现子系统涉及到的业务流程对于能够细化的流程以子流程方式提供流程中必须标示或者在后面附加说明具体执行的角色或岗位以及相关的控制点情况 4 3 4 安全及性能要求需求依据用户提出的具体要求对本单元中所有有关性能的指标进行明细量化便于设计把握如用户单位对使用方便的需求对可维护性可补充性易读性可靠性运行环境可转换性的特殊需求等如用户单位对本单元中存在的安全要求例如安全保密的需求高敏感数据要求密文存储等具体描述 4 3 5 边界和接口需求在本项目中本单元与其他业务单元发生的关系以关系图描述更好特别要关注信息的变化 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 15 页共 42 页 4 3 6 需求单元编号模块名称 4 3 6 1 概述描述该模块的实现的主要功能点 4 3 6 2 业务活动以及业务流程模块内涉及业务流程以及相应的业务活动 4 3 6 3 安全以及性能需求依据用户提出的具体要求对本单元中所有有关性能的指标进行明细量化便于设计把握如用户单位对使用方便的需求对可维护性可补充性易读性可靠性运行环境可转换性的特殊需求等如用户单位对本单元中存在的安全要求例如安全保密的需求高敏感数据要求密文存储等具体描述 4 3 6 4 边界以及接口需求在本项目中本模块与其他业务模块发生的关系以关系图描述更好特别要关注信息的变化 4 3 6 5 需求单元编号业务用例名称需求编号 r10030011 需求名称需求模板业务说明业务子项的概要说明引用业务说明书的业务描述实例根据客户提交的用电申请及相关资料受理低压客户新装业务业务规则一与功能有关的规则如果与功能无关的规则下没内容本项标题可以不写 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 16 页共 42 页描述业务项业务子项中的工作要求及工作内容与功能有关的规则该部分必须列出 1 抽象业务说明书中工作要求的业务规则 2 抽象业务说明书中工作内容的业务规则二与功能无关的规则如果本项下没内容本项标题可以不写描述业务项业务子项中的工作要求及工作内容与功能无关的规则该部分可以不列举使用级别省公司地市公司区县公司供电所先决条件功能执行和启动的必备条件描述 XXX 业务项已完成 XXX 文档已产生 XXX 数据已经生成符合 XXX 条件 4 XXX 审批已通过功能要求基本功能共计 XXX 个基本功能点参照业务模型说明书中的工作要求与工作内容描述基本功能具体实现过程基本功能描述必须能体现过程实现的顺序及该过程中所包含的基本功能在描述中需要充分考虑对可预知的过程分支异常等特殊情况的处理方法基本功能内容必须涵盖业务模型说明书中的工作要求和工作内容除与功能无关的规则基本功能可以参照以下的几种描述方法方法一初始化功能描述方法默认为方法二查询类功能描述方法输入查询选择查询输入或选择查询 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 17 页共 42 页方法三判断类功能描述方法如果则否则方法四输入保存类功能描述方法根据输入并保存方法五统计类功能描述方法按统计出方法六过程处理类功能描述方法根据输入或选择完成得到按照流程设置发送到环节根据生成按对进行校验方法七异常处理类功能描述方法如果出现错误进行处理方法八其它支持功能描述方法根据 XXX 打印 XXX 单据可以查询按 XXX 排序共计 2 个基本功能点实例根据客户识别信息 01 099 004 查询与该客户属于同一自然人或同一法人主体的其它客户电费缴费情况如有欠费则须在缴清电费后方受理改为 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 18 页共 42 页输入客户识别信息 01 099 004 查询与该客户属于同一自然人或同一法人主体的其它客户电费缴费情况如有欠费则须在缴清电费后方可受理格式实例输入客户识别信息后自动通过客户识别信息 01 099 004 查询与该客户属于同一自然人或同一法人主体的其它客户电费缴费情况如有欠费则须在缴清电费后方可受理输入客户识别信息后自动通过客户识别信息 01 099 004 查询与该客户属于同一自然人或同一法人主体的其它客户电费缴费情况如有欠费则须在缴清电费后方可受理输入客户识别信息后自动通过客户识别信息 01 099 004 查询与该客户属于同一自然人或同一法人主体的其它客户电费缴费情况如有欠费则须在缴清电费后方可受理输入客户识别信息后自动通过客户识别信息 01 099 004 查询与该客户属于同一自然人或同一法人主体的其它客户电费缴费情况如有欠费则须在缴清电费后方可受理输入客户识别信息后自动通过客户识别信息 01 099 004 查询与该客户属于同一自然人或同一法人主体的其它客户电费缴费情况如有欠费则须在缴清电费后方可受理输入客户识别信息后自动通过客户识别信息 01 099 004 查询与该客户属于同一自然人或同一法人主体的其它客户电费缴费情况如有欠费则须在缴清电费后方可受理辅助功能共计 XXX 个辅助功能点在系统实现所支撑业务的基本过程中提供的非必需但能辅助业务方便快捷开展及保障业务过程顺利实现的功能可查询可打印可导出格式可按排序 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 19 页共 42 页共计 2 个辅助功能点可查询相同识别信息如身份证号码用电地址联系电话的客户服务记录可打印客户查询卡查询卡是提供给客户查询业务办理情况的单据主要信息包括客户的工作单编号业务类型受理人员以及供电公司的联系方式等提示信息描述各种情况的提示信息如果则提示实例同一户名用电地址或联系电话的客户申请用电进行提示改为如果办理申请的客户户名用电地址或联系电话已经存在则提示处理约束描述功能实现时针对业务要求内部必须满足的控制性约束和条件描述功能处理的算法数据之间的逻辑关系等描述方法如下必须填写信息的不允许只能如果则不允许与必须相等或平衡算法实例必须填写户名用电地址联系电话证件类别证件号码管理单位等信息修改客户档案时不允许修改客户编号信息处理要求输入信息要求填写功能输入查询系统的信息如勘测处理功能中的客户申请信息如果输入的信息是整个信息类则信息类后要加信息类编号不需罗列具体数据项否则罗列数据项格式如下信息如果是网站及客户服务电话完成预受理的客户本环节需要客户预 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 20 页共 42 页受理信息预受理信息户名地址联系电话预受理业务联系输出信息要求本功能输出系统保存的信息如果输出的信息是整个信息类则信息类后要加信息类编号不需罗列具体数据项否则罗列数据项格式如下信息客户申请信息客户编号客户名称行政区用电地址客户类型联系地址邮编联系人联系电话移动电话用电设备信息设备名称型号容量台数合计容量流程信息传单编号业务类型用户名称开始时间完成时间考核要素列出考核要素根据考核要素描述本业务子项应具备的功能列出业务说明书业务要求或工作要求中考核要素针对 XXX 考核要素在本业务子项应提供 XXX 功能如针对答复时限考核要求需对超期业务进行记录并对即将到期业务进行提醒非功能需求包括性能需求安全需求和其他需求根据以下表格指出本业务项的性能分类分类性能要求适用功能快速响应响应时间 5 秒普通响应响应时间 10 秒事务处理批量处理响应时间 5 分钟简单查询响应时间 5 秒精确查询简单条件查询查询综合查询响应时间 10 秒非统计查询简单统计响应时间 30 秒统计复杂统计响应时间 10 分钟复杂报表统计对特殊情况的性能响应要求应单独进行描述如电费计算复杂电费报表安全要求包括操作是否需要审计 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 21 页共 42 页是否需要 AB 密码校验是否需要第三方安全接口数据权限 XXX 部门的人员只能查询 XXX 范围的 XXX 数据此处只需描述性能非功能需求可以选择属于上面哪一类可以补充特殊的非功能需求统计要素按统计出表卡单据列出本功能使用到的表卡单据一般节点重要节点文档一般工作流程判断重要工作流程输入输出开始结束人工显示打印输出数据输入数据输出审批 5 非功能需求 5 1 运行要求运行环境要求数据库服务器操作系统 IBM AIX Oracle 10g 应用服务器操作系统 Windows 2003 Server SP1 64bit Weblogic Portal Server JBoss 4 1 Tomcat 6 0 接口服务器操作系统 Windows 2003 Server SP1 32bit Microsoft SQL Server 2000 工作站操作系统 Windows XP sp2 浏览器 Internet Explorer 6 0 7 0 网络环境 48 口交换机 100 1000M 自适应网口数据库服务器应用服务器和交换机之间采用光纤连接 5 2 数据精度要求分类类型限制及范围数字整数同 java int XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 22 页共 42 页浮点数同 java float 双精度数同 java double 电力单位 MW 9 位有效数字 1 位小数四舍五入电量单位 MWh 18 位有效数字 3 位小数四舍五入电价单位元 MWh 9 位有效数字 4 位小数四舍五入电费单位元 18 位有效数字 4 位小数保存 2 位小数显示编号 0 编号 99 99 并发稳定性 200 并发连续运行 72 小时稳定性服务器 CPU 负载平均 30 峰值 70 可用内存数不超过物理内存 30 Java 虚拟机占用内存 2GB 服务器平均每秒钟响应次数 1000 界面展示平均用户响应时间 3s XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 25 页共 42 页最大用户响应时间 15s 95 概率平均响应时间 1s 95 概率最大响应时间 5s 5 4 安全性要求对于安全性目前信息化建设的安全性已经逐渐被客户所重视一般都会提出相对具体的要求这部分也要结合我们的经验提出包容用户要求的项目安全性能要求待以后出具公司具体的信息系统建设安全规范这部分将描述用户特殊性的安全要求指标分类指标项指标要求口令限制身份鉴别信息具有不易被冒用的特点口令有复杂度要求如口令长度至少八位以上同时包含字母数字特殊字符等并定期更换口令登录限制对登录网络设备的用户进行身份鉴别对网络设备的管理员登录地址进行限制网络设备用户的标识唯一结束会话限制非法登录次数当网络登录连接超时自动退出当远程对网络设备进行管理时采取必要措施防止鉴别信息在网络传输过程中被窃听结束会话限制非法登录次数当网络登录连接超时自动退出用户登录身份鉴别系统的标识和鉴别机制可以包含以下一个或多个安全技术用来替代或者作为用户名静态口令方式的补充公钥基础设施 PKI 硬件令牌生物鉴别一次性动态口令等 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 26 页共 42 页用户帐号严格限制默认帐号的访问权限禁用或重命名系统默认帐号并修改这些帐号的默认口令及时删除多余的过期的帐号避免共享帐号的存在数据库用户不能用系统用户如 sysdba system sa 等数据库用户保证只能操作相应得表和存储过程应用系统配置得数据库用户不能有 DDL 权限应用服务器配置得数据库用户密码必须以加密方式保存数据库备份数据库必须每 24 小时做一次全库备份至少保留最近 7 天的备份历史记录备份记录应该保存到可移动介质或其它服务器数据库日志数据库操作日志不能被删除以备出现数据库问题后追查原因数据库补丁数据库安装时必须保证安装了最新补丁以后每半年更新一次补丁数据库操作系统密码操作系统密码必须具有一定得安全性不低于 8 字符不能是单个单词在系统试运行后服务器密码必须移交给客户方维护人员对服务器得操作采取工作票制度定期更新服务器必须每月至少做一次系统更新防病毒软件服务器必须安装防病毒软件并定期升级病毒库漏洞扫描服务器防火墙数据库服务器应用服务器必须置于防火墙保护方位内用户只能访问应用服务器不能访问数据库服务器网络入侵检测数据库服务器应用服务器和客户端之间应部署 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 27 页共 42 页入侵检测系统双机数据库服务器采用双机配置双网数据库服务器应用服务器采用双网配置安全隔离根据各部门的工作职能重要性所涉及信息的重要程度等因素划分不同的子网或网段并按照方便管理和控制的原则为各子网网段分配地址段需要建立 VLAN 虚拟专网以保证营销系统业务处理的数据安全通过分配固定带宽保证数据传输的稳定可靠在网络边界处监视以下攻击行为端口扫描强力攻击木马后门攻击拒绝服务攻击缓冲区溢出攻击 IP 碎片攻击网络蠕虫攻击等入侵事件的发生部署企业级防病毒软件以保证系统安全用户密码用户密码以不可逆算法加密保存用户密码不能以明文形式在网络上传输 SQL 注入漏洞采用 Microsoft SQL Server 数据库的应用程序应进行 SQL 注入漏洞检查跨域 Cookie 采用 ajax 架构的程序应进行跨域 Cookie 漏洞检查敏感数据存放在数据库中的敏感数据不能被系统其它低级别权限用户和系统管理员看到的数据如密码身份证号码银行账号等应该以加密方式存储防抵赖设计敏感用户操作的敏感数据如财务主管付款记录领导对文件的审批记录等应该做防抵赖设计权限分离实现操作系统和数据库系统特权用户的权限分离应用系统操作日志用户操作记录特别是系统管理员操作记录应该以日志方式记录条件允许的情况下应该记入独立的审计数据库安全性审计系统自审计系统应该提供自审计功能发现系统的伪造数据 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 28 页共 42 页审计范围审计范围覆盖到服务器上的每个操作系统用户和数据库用户审计内容包括系统内重要的安全相关事件如重要用户行为系统资源的异常使用和重要系统命令的使用等安全相关事件的记录包括日期和时间类型主体标识客体标识事件的结果等保护审计进程避免受到未预期的中断保护审计记录避免受到未预期的删除修改或覆盖等审计追踪记录记录关键网络设备的运行状况网络流量用户行为等事件的日期和时间用户事件类型事件是否成功及其他与审计相关的信息审计数据管理系统应该具有对审计信息的访问控制机制允许安全管理员配置能够对审计数据进行访问的用户范围系统应该提供对审计数据进行手动或自动备份的工具具有根据用户提供的查询条件对审计数据进行搜索分类排序的能力系统应该提供对审计数据日志的管理工具允许管理员或安全管理员设定审计日志的容量覆盖规则和审计事件的类型 5 5 可靠性要求指标分类要求系统稳定性要求 7 24 小时 6 12 小时 5 8 小时系统可用率要求年可用率不低于 99 99 平均年故障率 1 小时故障恢复时间自动 4 小时 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 29 页共 42 页故障恢复时间手动 24 小时并发稳定性要求 200 并发连续运行 72 小时 5 6 可维护性要求可维护性是指在不影响系统其他部分的情况下修改现有系统功能中问题或缺陷的能力指标分类要求构件化设计应用系统应该采用构件化设计思想系统框架与业务逻辑分离异常信息应用系统出现异常错误报告时必须能够提供详细的异常信息错误编号系统在运行过程中所发生的错误应该有明确的错误编号并能在系统的相应维护手册中查到错误处理方法与步骤扩展性当系统负荷加大时仍需确保所需的服务质量而不应更改整个系统的架构单独升级应用系统必须支持各构件的单独升级应用软件中的任一模块更新加载时在不更新与上下模块的接口的前提下不影响业务运转和服务统一监控利用全局统一的运维管理监控平台实现对的系统的统一监控监控内容包括运行状态告警日志分析等 5 7 易用性要求指标分类要求统一风格应用系统必须提供一致性的图形用户界面风格必填字段应用系统的操作界面必须明确标识出必填的输入信息采用粗体特殊颜色尾部添加星号等措施明确标示多窗口支持应用系统必须支持同时打开多个管理窗口以对不同任务进行并行的操作 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 30 页共 42 页快捷键应用系统应该支持常用的快捷键快捷键符合用户常用习惯操作键序符合工作处理步骤能自动跳转以提高日常业务处理效率应用系统应该支持通过 Tab 键或回车键可以访问到同一个窗口的所有控件对象分页显示应用系统必须采用分页机制显示查询结果并显示返回的记录数目当前页和总页数错误处理应用系统发现用户提交有误信息必须以弹出窗口的形式明确提示用户错误的原因并把界面控制焦点置于发生错误的控件对象上系统在处理程序出错时信息提示以红色字体出现在操作页面的上方并通过提示信息内容告诉客户系统处理失败的原由出错的信息提示内容通过本地化文件进行管理菜单组织应用系统功能菜单必须按照功能域功能项的分类方法进行组织操作提示在导致系统数据发生变化的操作执行之前系统应该弹出提示窗口供用户确认分栏显示经常性的面向基层的具体岗位的业务处理界面必须简洁实用直观数据信息分层显示常用的排前不常用的靠后或消隐对于操作员无权限使用的菜单功能应用系统不显示该菜单或将其设置为不可用状态对于复杂的信息结构系统应该采用分栏的机制在同一个窗口中显示不同的信息内容并自动刷新不同部分的信息内容进度显示当应用系统正在执行用户提交的请求而无法返回时必须明确标识系统处于繁忙阶段在线帮助系统必须提供在线帮助功能对于每一个操作功能都能查找到相应的详细使用说明应用系统提供 FAQ 功能支持常见问题的管理发布等应用系统提供问题管理功能支持常见问题的收集反馈等 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 31 页共 42 页事务处理操作员登录系统后系统必须能够主动地提醒等待该操作员处理的任务导出功能应用系统的查询统计结果可以转存为 EXECL 等常见格式文件 5 8 备份要求指标分类要求基础数据基础数据在线永久保存过程数据过程数据在线保存 3 年离线永久保存实时数据实时数据在线保存 2 年离线永久保存文档数据文档数据在线保存 3 年离线永久保存统计数据统计汇总数据在线保存 3 年离线永久保存系统数据系统数据全备份时间周期 7 天增量备份时间周期 24 小时 5 9 其它要求 5 9 1 用户和权限管理本部分安全要求规定了系统的用户分类管理口令管理和授权管理 5 9 1 1 系统管理员帐号角色系统应该将系统的管理权限包括用户管理权限管理配置定制单独赋予系统管理员帐号角色这类帐号角色仅负责进行系统级的管理不具备任何业务操作的权限 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 32 页共 42 页 5 9 1 2 安全管理员帐号角色系统应该通过设置特殊的安全管理员帐号角色对系统中所有的安全功能进行管理或监视例如具有操作审计数据备份等权限从而限制和监督系统管理员业务员行使正常权限系统使用中应该保证安全管理员帐号角色与系统管理员帐号角色不能为同一人 5 9 1 3 审核管理员帐号角色系统应该能够通过设置审核管理员帐号角色对关键的系统管理和特殊要求的业务操作行为实施不可绕行的审批没有经过审批的操作将不能生效系统使用中应该保证审核管理员帐号角色与系统管理员帐号角色不能为同一人 5 9 1 4 非管理帐号角色系统应该将业务操作权限赋予非管理员帐号角色这类帐号角色不能具备任何系统级的管理权限并且其具有的权限转移和委托机制不能违背系统的授权原则 5 9 1 5 禁用匿名帐户系统应该不内置匿名账户也不允许匿名用户的登录 5 9 1 6 用户口令管理系统应该可以让系统管理员用户去分发用户的初始口令同时需要强制用户在初始登录时去改变管理员分发的口令在此之后应该不允许除了系统管理员用户之外的其它用户去改变非他们本人的口令 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 33 页共 42 页系统在鉴别身份之前应该能够检验用户口令是否过期并强制性的要求口令过期的用户去更新口令系统在用户更新口令时应该能够检测用户的新口令是否已经被使用过并阻止其选择使用过的最近几次管理员定制的口令系统应该能够系统管理用户对以上涉及的口令策略进行配置 5 9 1 7 用户授权管理系统应该提供给系统管理员用户一个产生和修改用户授权的管理工具并且保证在每次产生或修改权限后不需要重启系统就能立即生效系统应该能够根据业务特性设置权限互斥的原则保证用户权限合理对应关系避免任何可能产生安全问题的权限分配方式或结果例如一个用户不能同时具有两个互相制约的权限系统能够支持应用网省集中或应用地市集中不同模式下的数据和业务功能省对市市对县的分级授权管理功能使系统安全从应用程序前端界面到数据库后端的访问修改权限都能得到灵活控制系统应具备一定的灵活性能灵活调整适应一定条件下组织机构变化所引起的数据及权限的变化 5 9 2 操作安全本部分安全要求规定了系统的访问控制机制具体表现为用户操作合法性的验证方式操作输入的安全性以及异常情况的处理机制 5 9 2 1 用户授权的验证系统应该在允许用户或代表用户的进程获取权限或者资源之前已经对其进行了授权确认系统应该能够确保用户可以正常执行所有授权操作同时不能绕过其控制机制执行任何非授权的操作对系统中一些关键的业务操作需要进行 AB 校验或二次校验 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 34 页共 42 页 5 9 2 2 输入导入数据的安全验证系统应该对用户在客户端输入或导入的数据进行长度范围数据类型等属性的合法性进行检验对不合法的数据应该禁止输入系统并且提示明确的错误信息系统应该在服务器端对将要存储到后台数据库中的数据进行合法性检验对不合法的数据应该舍弃并报警 5 9 2 3 并发操作保护系统应该能够允许多用户同时对同一个系统资源进行不相冲突的访问操作并且设定保护措施防止相互可能造成的冲突系统应该禁止客户端用户执行相互矛盾的操作例如两个用户同时修改一个资源 5 9 2 4 异常事件的提示和报警系统应该定义了分级的系统异常事件类型并且根据异常的严重程度分别采用日志记录警告提示声光报警等方式进行通知 5 9 2 5 异常事件的自动处理系统应该能够对部分严重故障进行自动处理采取可能使系统恢复正常状态的行为或保护现存数据安全的行为 5 9 3 应用数据安全本部分安全要求依据应用数据的分类保护情况由数据拥有者或使用者定义需求例如定义敏感数据鉴别数据普通数据确定其在存储传输过程中的机密性完整性和可用性等方面的需求 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 35 页共 42 页 5 9 3 1 鉴别数据保护应该对系统内鉴别数据的存储和传输进行保护保证对其机密性完整性和可用性的保护强度符合业务需求系统应该负责保证其访问数据库系统中间件系统的用户名和口令的机密性并能够允许系统管理员用户进行该类口令的修改而不影响系统的使用系统应该保证临时出现的鉴别数据的机密性包括内存或缓存文件中口令密钥等 5 9 3 2 业务数据分级保护系统应该允许系统管理员用户或数据创建者定义修改业务数据的安全性等级并且确保该分级标记是可以被访问控制机制理解的系统应该按照已定义的业务数据安全级别进行分级的存储保护和传输保护保证对其机密性完整性和可用性的保护强度符合业务需求对关键业务的每一步操作如电价表维护都要记录操作日志以备安全检查 5 9 3 3 系统数据保护系统应该对程序文件配置文件和可执行代码等系统数据进行存储保护和传输保护保证对其机密性完整性和可用性的保护强度符合业务需求 5 9 3 4 客户端返回数据系统应该能够保证其向客户端提供的数据信息包括不成功的连接尝试中不包含会泄漏系统安全数据的内容例如数据库类型中间件类型和操作系统的版本信息等也不包含与用户请求无关的数据 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 36 页共 42 页 5 9 3 5 客户端缓存数据系统应该避免在客户端缓存任何重要和敏感的数据如果有必要应采取安全措施确保数据的机密性和完整性 5 9 3 6 输出数据系统应该在输出保密数据到外部系统或打印时恰当的标记数据的保密等级 5 9 4 密码技术本部分规定了系统在使用密码技术进行数据加密或完整性保护时需要满足的要求这些要求独立于特定的密码技术 5 9 4 1 密码算法的选择系统中使用的密码算法在强度上应该等于或大于公司规定和用户提出的安全强度要求 5 9 4 2 密钥的安全管理系统需要在密钥生成存储分配销毁的整个生命周期中对其实施保护确保密钥明文不能被其他进程程序和应用中非相关组件访问到 5 9 4 3 证书验证和撤销系统应该确保能够对系统中使用的证书进行正确鉴别而且不会接受或继续使用非法的或者无效的证书 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 37 页共 42 页 5 9 5 审计管理本部分安全要求定义系统所应具有的审计功能和实现方式包括利用外部审计系统达到的审计功能 5 9 5 1 基本审计功能系统应该能够将所有的安全相关事件记录到事件日志中或者将事件数据安全地发送到外部 5 9 5 2 完整的审计功能系统应该提供对审计数据进行查看分析的管理工具保证系统管理员或安全管理员方便的实施安全运维行为 5 9 5 3 审计事件的类型系统应该能够对所有与应用本身相关的各类事件进行有效记录包括但不限于以下事件系统事件例如系统启动关闭认证和鉴别配置更改等业务事件例如信息查询数据输入等成功事件失败事件对审计功能的操作系统应该能够允许安全管理员选择需要进行审计的事件项目 5 9 5 4 审计事件的信息系统对审计事件的记录应该确保可以将每个可审计事件与引起该事件的用户身份相关联需要包含并绑定以下信息事件发生的时间或时间段事件发起用户 ID 程序 ID 或其他实体的识别 ID XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 38 页共 42 页用户操作的客户端事件内容事件导致的结果 5 9 5 5 审计数据的管理 5 9 6 安全实施本部分安全要求规定了信息系统上线部署阶段应该考虑的安全要求 5 9 6 1 代码清除信息系统部署后应当确定应用程序代码和其运行的平台不包含着不必要的文件或者后门 5 9 6 2 用户初始化信息系统部署后应当确认系统中存在的所有用户生成应该是合法并且不能存在以下用户或口令实施过程中使用的临时用户或测试用户隐藏用户和匿名用户管理员的初始默认口令管理员给用户分发的口令 5 9 6 3 权限初始化信息系统部署后信息系统用户和数据库用户的权限应该符合最小权限原则并且由信息系统管理员完全控制 5 9 6 4 安全策略配置信息系统部署后应该按照具体业务的安全需求启用安全功能和配置安全策略 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 39 页共 42 页 5 9 6 5 运行环境加固信息系统部署后应该对操作系统数据库等基础系统进行针对性的加固在保证信息系统正常运行的情况下关闭其他风险服务和端口 5 9 7 数据安全 5 9 7 1 数据完整性能够检测到网络设备操作系统主机操作系统数据库管理系统和应用系统的鉴别信息和重要业务数据在传输过程中完整性受到破坏 5 9 7 2 数据保密性网络操作系统主机操作系统数据库系统应用系统的鉴别信息和重要业务数据采用加密或其他保护措施实现存储保密性采用信息加密技术对客户端和应用服务器之间银电联网的各环节之间传输的数据流进行加密处理保证在网络传输过程中的数据安全 5 9 7 3 数据备份和恢复提供对重要信息进行备份和恢复的功能提供重要网络设备通信线路和服务器的硬件冗余定期进行数据备份安全恢复试验采用磁盘镜像的技术进行数据冗余保护建立数据异地容灾以在意外或不可预料的灾难情况发生时确保营销关键业务还能够正常开展数据库服务器需考虑多种方式的冗灾冗错和备份数据库服务器应有独立的网段不允许网内普通用户直接访问数据库服务器 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 40 页共 42 页 6 集成需求 6 1 应用集成平台 6 1 1 技术要求系统应按照 SOA 架构对业务应用进行搭建或改造实现系统的可集成松耦合开放可重用业务应用基本实现即插即用应用集成平台提供按照标准信息模型构建的数据应用和流程集成服务并依据标准搭建相应的技术实现平台应用集成平台提供的接口规范应包括但不局限于标准的 Web Service JMS 等应用集成平台提供统一的信息模型标准统一的服务目录服务的注册发布和订阅机制营销管理业务系统按照标准模型统一通过应用集成平台对外进行集成工作系统支持按照国际标准信息模型例如 CIM 进行转换并依据标准通过应用集成平台进行数据应用和流程的集成 6 1 2 数据集成系统与其它业务系统实时性较高的数据共享需求需要按照标准的信息模型通过应用集成平台企业服务总线进行数据共享和交换系统与其它业务应用系统间非实时的批量数据共享数据需求需要信息模型通过数据中心 ETL 服务进行数据共享和交换 6 1 3 应用集成系统与其它业务应用系统彼此调用功能获取信息需要实时返回结果通过调用应用集成平台按标准接口和模型封装的业务服务并实时返回结果系统与其它业务应用系统彼此调用功能获取信息需要非实时返回结果通过应用集成平台调用按标准接口和模型封装的业务服务非实时返回结果 XXXXX 项目需求规格说明书四川启明星银海科技有限公司第 41 页共 42 页系统与其它业务应用系统彼此单向发送信息的通过应用集成平台调用按标准接口和模型封装的业务服务

展开阅读全文

IT项目需求规格说明书模板

最新文档