代码审计工具Findbugs自动检查CheckList及配置方法
代码审计工具Findbugs自动检查CheckList及配置方法
代码审计工具Findbugs是一个应用比较广泛的开源代码审计工具，如果开发团队利用好了这个工具，能够很大程度上提高软件产品的安全性。而且重要的是Free。
首先，介绍一下安全审计配置文件的位置，网上都没有这方面的资料，我自己找了几个小时才找到。这个配置文件不在安装文件夹，也不再Eclipse软件的文件夹，而是在具体项目的工作空间workspace中，具体位置是：workspace\.metadata\.plugins\edu.umd.cs.findbugs.plugin.eclipse\.fbprefs。（以点开始的文件夹，还这么多层目录，很隐蔽！！！）
这个文件中，选中要审计的项目其配置值会是“TURE”，配置为不审计的项会是“FALSE”。我们可以通过在工作中逐渐确定哪些安全项一定要检查，哪些不需要检查，确定之后，整个开发团队使用同一个配置文件，从而实现标准化、自动化地审查开发团队的代码。
CNAS-CL01：2018(ISO／IEC17025：2017)内审检查表
No. 审核地点：审核时间：被审核岗位：内审员：被审核人员确认： 审核条款/项目审核内容符合一般不 符合 严重不 符合 审核结果记录 CNAS-CL01:2018 4通用要求 4.1公正性4.1.1 测试中心是否公正的实施实验室（检测）活动，并从组织结构和管理上保证公正性 CNAS-CL01:2018 4.1.2 测试中心是否做出了公正性的承诺，测试中心人员和客户是否能够方便的获取公正性承诺 CNAS-CL01:2018 4.1.3 测试中心是否能对实验室活动的公正性负责， 测试中心是否有措施确保实验室活动的公正性，避免来自内外部的不正当的商业、财务和其他方面的压力和影响对公正性造成的损害 CNAS-CL01:2018 4.1.4 测试中心是否持续的识别影响公正性的风险，是否采取措施应对实验室活动、实验室各种关系或实验室人员关系而引发的风险 CNAS-CL01:2018 4.1.5 测试中心是否可以证明采用了何种方式消除或最大程度的降低实验室的公正性风险 CNAS-CL01:2018 4.2保密性 4.2.1 测试中心是否通过作出具有法律效力的承诺，对在实验室活动中获得或产生的所有信息承担管理责任？是否将其准备公开的信息事先通知客户？是否对除客户公开或与客户有约定的信息以外的所有信息视为专属信息并予以保密？ CNAS-CL01:2018 4.2.2 测试中心是否对法律禁止外的根据法律要求或合同授权透露保密信息时，将所提供的信息通知到相关客户或个人？ CNAS-CL01:2018 4.2.3 测试中心是否采取相应的保密措施确保从客户以外获知的客户信息应在客户和实验室间保密？是否采取措施为信息提供方保密，且不告知客户，除非信息提供方同意？ CNAS-CL01:2018 4.2.4 测试中心是否对法律要求除外的包括但不限于委员会、合同方、外部机构人员或代表实验室的个人等人员对在实施实验室活动中获得或产生的所有信息保密？
实验室质量管理体系内部审核检查表
实验室质量管理体系内部审核 检查表 二Ο一六年九月 条款检查问题判定检查记事 实验室质量管理体系内部审核检查表 4 评审要求 4.1组织 实验室是单位法人 4.1.1 是否有相应的单位法人证明和合法的服务范围证明? 4.1.2 是否明确承诺并切实履行职责，保证从事的检测和校准活动满足认可准则和外部有关各方的要求？ 4.1.3 是否用组织结构图明确了内外部关系？ a)管理和技术人员是否有履行其职责的权力和资源？ 4.1.4. b)是否有措施保证管理者和员工免受来自内外部的任何可能影响工作质量的压力和影响？ c)是否有程序保护客户的机密信息和技术所有权 a)是否规定了对检测和/或校准质量有影响的所有管理、操作 和核查人员的职责、权力和相互关系？ （包括总经理、技术负责人、质量负责人、授权签字人、科室 主任与检测工作有关的其他岗位。） b)是否任命了熟悉各项方法、程序、目的和结果评价的人员担 任监督员并对检测和校准工作进行了充分监督？ c)是否有技术负责人对技术运作和确保运作质量所需的资源 4.1.5 全面负责？ d)是否指定了质量负责人并保证管理体系在任何时候都能得 到实施和执行？他是否能与最高管理者直接联系？ e)是否有权力委派、职务代理人？ f)员工是否理解他们活动的相互关系和重要性，以及如何为管 理体系质量目标的实现做出贡献? 4.2 人员 a）是否配备有足够的技术人员？ 4.2.1 b）化验检测人员是否具有相关的专业理论知识和实验操作 能力？ 是否明确了管理者及相关科室人员职责？ 4.2.2 4.2.3 是否建立了人员培训和管理程序？
询问最高管理者通过什么方式将客户 4.2.4 是否规定了人员的基本要求？ 要求和法定要求传达到实验室的所有 员工，查阅相关记录和证据。 2 条款检查问题判定检查记事 4.2.5 是否制定了培训计划和目标？ 4.2.6 授权范围是如何规定的？ 4.2.7 是否建立有人员技术档案？ 4.3 工作场所和工作环境 4.3.1 工作场所和工作环境是否满足检测工作的需要？ 4.3.2 是否明确了管理者和检测人员的相应职责？ a）是否建立并实施《现场检测控制程序》？ 4.3.3 b）是否建立并实施《实验室安全与内务管理程序》？ c）是否建立并实施《环境保护程序》？ a）实验室的采光、通风、照明、供电是否满足要求？ 4.3.4 b）是否设臵通风橱以排除有毒和刺激性气体？ C)是否对温度、湿度和清洁度进行控制？ d）实验室布局是否合理？ e）是否有必要的隔离措施，以免对检测结果产生影响？ 4.3.5 检测、控制是否按要求进行？是否进行记录？ 4.3.6 特殊区域的控制溶液？ 4.3.7 对实验室的安全与内务管理是否有明确规定？ 4.4 设备设施 a）是否配备了进行检测、校准、取样、物品制备、数据处理 与分析所要求的全部设备？ 4.4.1 b) 设备是否处于受控状态？ 4.4.2 是否制定了管理者和相关科室人员的设备管理职责？ a）是否建立了《仪器设备管理程序》？ 4.4.3 b）是否建立了《标准物质管理程序》？ a）是否配备了检测工作所需要的仪器设备和标准物质？ 4.4.4 b）检测、采样所使用的仪器设备及其软件的主要技术指标是 否满足检测方法要求？ a）是否明确规定了仪器设备的使用要求？ b）检测、校准和取样设备及其软件是否达到了要求的准确度，并符合相应的检测和校准规范要求？ 4.4.5