使用程式碼安全檢測改進軟體品質：以國稅再造專案為例

Fortify SCA Usages Import of the National Tax Restructuring Project

林志聰(Jhih-Cong Lin)

指導教授 ： 方仁威

健行科技大學/管理學院/資訊管理系碩士班/碩士(2014年)

https://doi.org/10.6824/UCH.2014.00042

摘要

財政部為提升稅務服務品質及效能刻正進行賦稅再造專案，依稅務系統整合及因應現今趨勢新增需求，將原有舊的系統轉換至新的系統整合平台，並配合財政部財稅資料中心完成調整國稅系統相關驗測及專案整合實務。遂於民國99年起推動「賦稅資訊系統整合再造更新整體實施計畫」。然而，隨著軟體程式功能的逐漸擴大與複雜度日趨繁雜，在開發程式時，可能衍生的弱點及資安漏洞也有增無減，致使資訊安全問題層出不窮。因此，如何在軟體開發設計的過程之中，加入安全理論與實務技術，在資訊系統開發時考量安全性，撰寫較為安全與研判例外狀況的縝密程式碼，係現行各類大型專案管理上之重要課題。
本研究係針對國稅系統依Fortify SCA(程式碼安全檢測工具)的操作程序逐步實作，藉以進行各個程式構面上的資安漏洞檢測；進而有效達成國稅再造專案之相關資安風險管控與各類安全威脅排除，以改進並提升程式的軟體品質及系統整合，同時針對參與專案之軟體開發專業工程師且具備相關資安素養之32位程式開發專才作為調查對象，透過問卷及深入訪談調查，並運用投票式評選模式與結合AHP(層級分析法)，評選ISMS(資訊安全管理系統)中與程式碼安全檢測相關之控制要項，進行深度分析與相關研究，以做為企業導入程式碼安全檢測工具進行系統整合時，一旦要導入ISO/IEC 27001：2005時相關控制措施進行軟體品質改進時之參考。

關鍵字

程式碼安全檢測工具 ； 系統測試規格文件 ； 功能性測試 ； 資訊安全管理系統 ； 層級分析法

並列摘要

In this paper, actual experience and achievements of the Chien Hsin University Department of Information Management students participate in hiking with Mitac ITX Nnational Tax Systems project for the sharing of the national tax system according to Fortify SCA (Static Code Analyzer) operation into the exercise program configuration information on the security vulnerability testing, and then to find a solution reconfigurable programmable logic and style, in order to effectively reach a tax recycling rule out the risks and threats of programming aspects of the operational requirements, and Have knowledge of programming information security staff Conducted a questionnaire survey, Related control project selection, Order by degree of effective the achieve, As a business importing code security testing tools which can simultaneously control measures through ISO/IEC 27001：2005 basis.

並列關鍵字

Fortify SCA ； STS ； Functional Test ； Information Security Management Systems (ISMS) ； Analytic Hierarchy Process (AHP)

參考文獻

[1] CNS 27001(ISO 27001)，「資訊技術-安全技術-資訊安全管理系統-要求事項」，中華民國國家標準，經濟部標準檢驗局，2006。

[2] 王瑞海，2006年，我國賦稅資訊系統整合再造之研究，國立台灣科技大學資訊管理系碩士論文。

[3] 方仁威、林維義、林譽方、林挺生、李逸翔、宋宏杰、黃筑巖、陳培毓，2011年，”執行財政部縣市合併資料庫轉檔專案之實務研究”，2011年資訊管理實務研討會論文集，清雲科技大學資訊管理系主辦，2011年5月6日。

[4] 方仁威、涂恕榮、邱泰源、陳盈君、吳信佳、張寶嫣、陳培毓，2012年，”財政部賦稅再造國稅系統功能性實測之研究”，2012資訊管理實務研討會論文集，清雲科技大學資訊管理系主辦，2012年5月18日。

[5] 方仁威、許智傑、邱泰源、林志聰、郭庭維、張儷瀞、許書睿、林維義，2012年，”將系統測試規格文件導入國稅系統專案之研究”， 2012資訊管理實務研討會論文集，清雲科技大學資訊管理系主辦，2012年5月18日。