IDAS — 国际数字应用标准

规范控制集

IDAS 强制要求。

声明范围内每项适用要求都必须得到处理。仅在替代控制设计产生等效且有证据支持的成果，并与要求不冲突时，才可接受。评估人员抽查设计与运营，出现重大风险或不一致时可要求额外证据。每项控制都需要负责人、受影响边界、审核触发条件与例外路径；证据须可归属于评估版本或运营期间。

1. IDAS-4.1

   调研与背景

   组织必须在接受解决方案范围之前，识别目标用户、运营约束、受影响流程、数据类别及负责决策的人员。 证据：获批准的调研记录与相关方关系图。

2. IDAS-4.2

   验收标准

   组织必须与获授权的验收负责人一起定义可测试的功能及质量验收标准，包括否定场景与异常情况。 证据：有版本记录的验收目录与审批记录。

3. IDAS-5.1

   架构决策

   组织必须记录重要架构决策、替代方案、假设、依赖与撤回决策的影响。 证据：架构决策记录与依赖关系图。

4. IDAS-5.2

   数据保护

   组织必须对数据分类、减少收集，明确合法处理、保留、删除及访问边界，并防止密钥或其他机密凭据进入源码或日志。 证据：数据清单、保留规则与机密凭据控制证据。

5. IDAS-6.1

   源码控制

   组织必须对正式运行代码与配置使用版本控制，确保作者可追溯、发布路径受保护且历史可恢复。 证据：代码仓库设置、变更历史与发布标签。

6. IDAS-6.2

   同行审核

   组织必须要求与变更风险相称的审核，并防止唯一作者在没有告知他人的情况下批准高影响变更。 证据：合并请求或同等审核记录。

7. IDAS-6.3

   安全开发生命周期

   组织必须将威胁评估、安全设计、核验与整改融入交付生命周期。 证据：威胁记录、安全要求与整改证据。

8. IDAS-6.4

   依赖治理

   组织必须清点第三方组件、评估已知漏洞、约束版本，并记录替换或更新决策。 证据：软件组件清单与漏洞处理决策。

9. IDAS-7.1

   自动化核验

   组织必须发布前运行可重复检查，覆盖相关代码质量、测试、构建完整性与安全条件。 证据：与发布版本对应且带时间戳的流水线结果。

10. IDAS-7.2

    人工核验

    组织必须测试自动化未充分覆盖的用户流程、失败状态、内容、无障碍与运营程序。 证据：审核脚本、发现的问题与验收证据。

11. IDAS-7.3

    无障碍

    组织必须定义无障碍目标，通过辅助交互测试有代表性的响应式状态，并记录未解决的障碍。 证据：无障碍矩阵与整改决策。

12. IDAS-7.4

    性能预算

    组织必须设置适合应用背景的可衡量加载、交互、稳定性及资源预算。 证据：实验室结果、实际使用测量计划与获批准的例外。

13. IDAS-8.1

    环境隔离

    组织必须分离开发、测试与正式运行职责，保护正式运行数据与凭据免受不受控使用。 证据：环境模型与访问权限审核。

14. IDAS-8.2

    发布与回滚

    组织必须采用有版本记录的发布流程，包含前置条件、变更记录、回滚文件与发布后核验。 证据：发布清单、校验值与回滚测试。

15. IDAS-8.3

    可观测性

    组织必须监测重要的可用性、错误、安全信号与关键业务流程健康状态，不收集不必要的个人数据。 证据：监测清单、告警路径与示例记录。

16. IDAS-8.4

    备份与恢复

    组织必须定义可恢复资产、受保护的备份安排及符合运营需要的恢复测试。 证据：备份范围与恢复证据。

17. IDAS-9.1

    交接与维护

    组织必须向维护人员提供系统、部署、支持、依赖、访问与已知风险文档。 证据：已验收的交接资料与维护责任归属。

18. IDAS-9.2

    退役

    组织必须系统退役时规划数据处置、依赖移除、访问撤销、用户沟通与证据保留。 证据：获批准的退役计划与完成记录。

实施路径

实用的 30／60／90 天采用顺序。

此顺序是规划辅助，不是承诺的认证时间表。复杂性、证据成熟度、第三方访问与纠正工作决定实际路径。团队应优先处理重大风险及可持续运营，不应制作仅为评估当天而存在的文档。

相关标准与服务

将 IDAS 连接到其周围职责。