Entry № 1118
安全需求
安全需求 是什么?
安全需求明确且可验证的陈述,规定系统为保护机密性、完整性、可用性和隐私必须做什么、不能做什么。
安全需求将威胁、法规和风险决策转化为可工程实现的陈述,例如「密码必须使用 Argon2id 并以指定参数存储」或「所有管理端点必须强制升级 MFA」。它们涵盖功能性安全(认证、授权、日志)与非功能性属性(密码强度、数据留存、韧性)。OWASP ASVS、NIST SP 800-53、PCI DSS 等框架提供了可裁剪的目录。在 SDLC 早期,以威胁建模、滥用与误用用例驱动定义这些需求,可以通过代码评审、SAST、DAST 与验收测试加以验证。
● 示例
- 01
ASVS V2.1.1:应用必须强制密码长度不少于 12 个字符。
- 02
需求:所有 PII 字段必须使用客户托管密钥进行静态加密。
● 常见问题
安全需求 是什么?
明确且可验证的陈述,规定系统为保护机密性、完整性、可用性和隐私必须做什么、不能做什么。 它属于网络安全的 应用安全 分类。
安全需求 是什么意思?
明确且可验证的陈述,规定系统为保护机密性、完整性、可用性和隐私必须做什么、不能做什么。
如何防御 安全需求?
针对 安全需求 的防御通常结合技术控制与运营实践,详见上方完整定义。
安全需求 还有哪些其他名称?
常见的别称包括: 安全性需求, 应用安全需求。