软件安全开发服务专业评价要求
条 款 |
三级要求 |
二级要求 |
一级要求 |
|
| 1. 准备阶段 | a）制定软件项目安全开发管理计划，明确开发过程管控措施。
b）建立软件开发的配置管理计划，明确配置管理的安全要求。 c）建立变更控制制度，明确软件项目变更控制的安全要求。 |
d）建立软件安全开发项目风险管理机制，对软件项目进行风险评估。 | ||
| 2. 需求阶段 | a）调研项目背景信息，收集项目需求，明确软件功能、性能及安全方面的要求。 | b）基于客户需求，开展需求分析，编制具有软件安全需求的分析报告，需求分析报告中明确项目开发中使用的安全技术标准、规范。 | c）应基于软件安全威胁开展需求分析。
d）基于软件项目需求分析建立软件安全开发模型。 |
|
| 3. 设计阶段 | a）根据软件项目需求，编制软件设计说明书，软件设计说明书明确系统/子系统的功能和非功能设计要求。
b）软件设计说明书明确包含安全功能要求，包括标识与鉴别、访问控制、安全审计和安全管理等。 |
c）概要设计说明书应明确数据完整性和保密性、通信完整性和保密性、软件容错、资源控制等安全功能要求。
d）详细设计说明书中应包含对数据产生、传输、存储、使用、处理和归档安全方面的详细设计。 |
e）概要设计说明书中应明确基于软件安全威胁分析的安全要求。
f）当开发场景适用时，概要设计说明书中应明确抗抵赖、安全标记、可信路径等安全功能要求。 g）依据安全要求和概要设计说明书，明确基于软件安全威胁分析进行详细设计。 |
|
| 4. 编码阶段 | a）制定统一的代码安全编码规范，确保开发人员参照规范安全编码。
b）软件代码要经过安全检查、评审，对于发现的漏洞能有效修复。 |
c）软件代码的安全检查、评审工作应形成记录。 | d）采用自动化工具对代码安全漏洞进行审查，对于发现的漏洞能有效修复，并形成审查报告。 | |
| 5. 测试阶段 | a）依据软件设计说明书对软件功能、安全功能进行测试。
b）对测试发现的漏洞进行分析并有效修复。 |
c）制定包括系统安全性测试在内的测试计划，并执行系统测试，形成测试记录。
d）基于软件安全功能的安全要求，制定脆弱性测试方案，对安全漏洞进行测试，形成测试记录。 |
e）基于软件项目的安全要求，制定系统渗透性测试方案，模拟攻击场景，对系统安全性进行测试，并形成分析报告。 | |
| 6. 验收阶段 | 6.1系统试运行 | a）测试系统运行的可靠性、稳定性和安全性，进行试运行，并记录系统运行状况，试运行周期至少一个月。
b）基于系统试运行相关记录，及时对软件进行调整、维护。试运行结束后，制定系统试运行报告。 |
c）提供三个月以上的试运行记录和报告；综合软件系统试运行状态，建立软件系统运行策略和安全指南。 | |
| 6.2验收交付 | a）根据合同约定，进行项目验收，形成项目验收报告。 | |||
| 7. 维保阶段 | a）对于影响软件系统安全、稳定运行的缺陷，及时有效采取打补丁、版本升级等方式予以消除，并提供远程技术支持服务。 | b）制定系统运行计划、安全事件响应计划、安全事件应急预案，建立应急响应服务保障团队；及时应对突发安全事件，并向用户提供安全事件解决报告。 | c）制定软件健康检查计划、方案，定期实施，提交相应的系统健康检查报告、巡检报告；根据健康检查报告进行分析，持续优化系统。 | |
附件：信息安全服务人员能力要求
信息安全服务人员能力要求
从事信息安全服务的相关人员，应具备技术和管理能力并通过考试，各服务类别的笔试科目及范围如下：
序号 |
软件安全开发方向考试科目和范围 |
|
1. |
信息安全保障人员基本素质
（1）职业素养：深刻理解从事信息安全保障工作必备的职业素养、特殊责任。 （2）知识结构：理解信息安全保障工作所需基础知识结构，深刻理解信息安全保障本质含义。 （3）工作技能：理解从事信息安全保障工作所需的基本技能、信息安全保障工作的特殊困难。 |
|
2. |
信息安全意识教育
（1）信息安全保障概念：了解信息安全发展历程，理解通信保密、网络安全、信息安全、信息安全保障等概念，准确理解信息安全属性，掌握什么时候需要分别考虑信息安全属性。 （2）信息安全形势：了解国内外信息安全形势、最新的典型信息安全问题、应对典型信息安全问题的方法。 （3）信息安全需求识别：了解形势发展的需要，理解社会责任的需求、组织业务保障的需要，了解现实信息技术环境的需求，指导如何提出实际需要，了解法律法规的要求、客户合同的要求、强制标准的要求、风险评估的要求、日常保障的要求、新技术和新措施应用的要求。 |
|
3. |
信息安全法律法规体系
（1）法律法规结构体系：了解我国信息安全法律法规结构、基本分类。 （2）国内外信息安全法律法规建设概况：了解中国、美国及其他国家信息安全相关法律法规建设情况。 （3）国内外信息安全标准建设概况：了解国外信息安全标准化相关机构以及相互关系，如ISO、IEC、ITU和国发达家的信息安全标准相关组织机构，如美国、英国等，了解我国信息安全标准相关组织及其关系，如国家标准化管理委员会、全国信息安全标准化技术委员会（TC260）等，了解ISO、IEC和ITU信息安全相关标准建设情况，了解美国特有的信息安全相关标准建设情况，了解我国信息安全相关标准建设情况。 （4）我国信息安全管理概况：了解我国信息安全相关管理机构、管理模式、主要的信息安全管理手段。 （5）典型信息安全法律法规：了解刑法中与信息安全相关的条款，了解《保守国家秘密法》、《商用密码管理条例》，了解我国互联网相关管理规定、信息安全产品相关管理规定。 |
|
4. |
通信技术基础
（1）通信的基本概念：理解通信的本质含义及电信概念、通信网络形成过程，了解通信网络结构、通信网络中的安全属性、通信网络应用分类、“网络”习惯分类、通信网络安全问题本质成因。 （2）通信协议及应用：熟悉OSI七层模型、TCP/IP协议族的基本协议及TCP/IP协议族存在的固有安全问题、IPv6、移动互联网等技术及应用，了解典型的通信网络及设备。 （3）安全通信协议：了解典型的安全通信协议，了解典型的安全通信协议在通信过程中的应用。 |
|
5. |
风险管理基础
（1）基本概念：理解风险的定义，风险管理的基本思想。 （2）常见风险评估方法：各类风险评估方法的基本思路、应用场景。 （3）典型风险评估方法：掌握1种风险评估方法。 （4）风险处置方法：了解各种风险处置方法及其应用场景。 （5）风险管理相关标准：了解风险管理相关国际标准、国家标准。 |
|
6. |
安全软件技术与测试
（1）安全软件的业界标准与实践：了解信息安全管理体系对安全软件的要求、CC 对安全软件的要求、FIPS 140-2 对安全软件的要求、PCI DSS 对安全软件的要求、安全弱点管理相关规范，如SCAP。 （2）安全开发生命周期：了解安全软件开发管理的全过程，如SDL、安全需求分析的主要方法、安全设计的主要方法、安全编码的主要工作、安全测试的主要内容、安全生产的主要内容。 （3）安全软件开发环境管理：1． 熟悉物理环境控制，了解逻辑访问控制、开发工具与配置项管理，熟悉人员与角色管理。 （4）安全功能架构与设计：了解典型的安全功能、安全功能的实现模型。 （5）安全漏洞分析：了解SCAP、 CVSS、典型的安全漏洞机理。 （6）安全编码：了解典型的安全编码规则、典型问题的修复方法。 （7）密码安全模块：了解典型的加密算法和应用方法、典型的密码应用方式，熟悉FIPS 140-2 的要求。 （8）安全测试与实验：了解软件测试的基本方法、软件安全功能测试的基本手段，能够使用软件安全性测试工具（如扫描工具、压力测试工具等）。 |
|
7. |
项目管理基础
（1）项目管理基本概念：正确理解项目的本质、管理的本质，掌握项目管理的基本分类，熟练掌握项目管理的生命周期与流程，掌握项目管理相对其他管理的特性。 （2）项目管理的发展历史与现状：了解项目管理的发展过程、国际项目管理发展现状、国际国内项目管理人员认证情况。 （3）九大项目管理知识领域：熟练掌握项目综合管理、项目范围管理、项目时间管理、项目成本管理、项目质量管理、项目人力资源管理、项目沟通管理、项目风险管理和项目采购管理思想与方法；掌握项目综合管理、项目范围管理、项目时间管理、项目成本管理、项目质量管理、项目人力资源管理、项目沟通管理、项目风险管理和项目采购管理工具和实施技巧。 （4）开发类项目管理技巧：掌握开发类项目管理的特点、项目生命周期，正确掌握开发类项目九大管理知识领域特性，掌握并实践完整的开发类项目过程。 （5）集成类项目管理技巧：掌握集成类项目管理的特点、项目生命周期，正确掌握集成类项目九大管理知识领域特性，掌握并实践完整的集成类项目过程。 |
|
8. |
信息安全技术
（1）信息安全技术发展：了解信息安全技术结构及相互关系、最新进展、应用基本方法。 （2）密码学及其应用:了解密码学发展历史、密码学在信息安全中的特殊地位，基本理解密码学的基本原理，基本掌握典型密码算法（对称、非对称、HASH函数）、典型密码算法的作用与应用方法、典型应用中如何采用密码技术，了解密钥管理方法。 （3）网络安全技术:了解网络安全技术的范畴、网络边界划分原则与方法、典型的网络安全问题、典型的网络攻击手段、网络边界防御原理与方法、典型的网络边界防御设备的系统原理与应用方法（网关防御、网络监控、网络交换）、网络通讯安全原理与方法、了解典型的网络通讯安全设备的系统原理与应用方法（访问控制、通讯加密）。 （4）平台安全技术:了解常用系统平台（UNIX、Linux、Windows等）的典型安全问题、常用的应用支撑平台（WEB、数据库等）的典型安全问题、各类安全漏洞的管理标准与方法、典型的对平台攻击手段、主机安全防护的主要手段（安全加固、安全监控、安全审计、主机保护等）的原理与实施方法及其工具、桌面系统的典型安全问题、桌面系统的安全保障方法与工具。 （5）应用安全技术:了解各类常用应用系统（通用应用系统、专业应用系统、特殊业务系统等）的典型安全问题、安全软件开发过程管理与控制、典型的应用安全漏洞、应用软件安全测试方法与工具。 （6）数据安全技术:了解数据安全的范畴、数据生命周期的各阶段安全需求、数据生命周期的各阶段安全保障技术与方法、灾难备份与恢复技术。 （7）物理安全技术：了解信息安全保障中物理安全的范畴、典型的物理安全问题、典型的物理安全防范技术与方法、支持性基础设施的物理安全问题及保护措施。 |
