軟件安全開(kāi)發(fā)服務(wù)資質(zhì)認(rèn)證自評(píng)價(jià)表

1、軟件安全開(kāi)發(fā)服務(wù)資質(zhì)認(rèn)證自評(píng)估表組織名稱(chēng)申報(bào)級(jí)別評(píng)估時(shí)間評(píng)估部門(mén)/人員自評(píng)估結(jié)論序號(hào)要點(diǎn)條款需提供證明材料符合不符合證明材料清單1.建立軟件項(xiàng)目安全開(kāi)發(fā)團(tuán)隊(duì)，明確各崗位、人員、職責(zé)。項(xiàng)目人員管理文件，項(xiàng)目安全開(kāi)發(fā)組織機(jī)構(gòu)，人員配備、角色職責(zé)，明確安全管理人員及職責(zé)。2.制定軟件項(xiàng)目安全開(kāi)發(fā)管理計(jì)劃，明確開(kāi)發(fā)過(guò)程管控措施。安全開(kāi)發(fā)計(jì)劃，明確里程碑管理、進(jìn)度、管控措施等，內(nèi)容包括安全要素。3.準(zhǔn)備階段建立軟件開(kāi)發(fā)的配置管理計(jì)劃，明確配置管理的安全要求。配置管理計(jì)劃，內(nèi)容應(yīng)覆蓋審核條款的要求。4.建立變更控制制度，明確軟件項(xiàng)目變更控制的安全要求。變更控制制度，變更過(guò)程控制記錄，內(nèi)容應(yīng)覆蓋審核條款的要

2、求。5.制定軟件項(xiàng)目安全培訓(xùn)計(jì)劃，對(duì)相關(guān)人員進(jìn)行安全培訓(xùn)。培訓(xùn)管理制度，安全培訓(xùn)計(jì)劃和記錄。自評(píng)估結(jié)論序號(hào)要點(diǎn)條款需提供證明材料符合不符合證明材料清單6.建立獨(dú)立的開(kāi)發(fā)環(huán)境，確保開(kāi)發(fā)環(huán)境與運(yùn)行環(huán)境隔離。軟件開(kāi)發(fā)規(guī)范，開(kāi)發(fā)環(huán)境和運(yùn)行環(huán)境說(shuō)明文檔。7.僅二級(jí)/一級(jí)要求：建立軟件安全開(kāi)發(fā)項(xiàng)目風(fēng)險(xiǎn)管理機(jī)制，對(duì)軟件項(xiàng)目進(jìn)行風(fēng)險(xiǎn)評(píng)估。風(fēng)險(xiǎn)管理制度，風(fēng)險(xiǎn)分析報(bào)告，內(nèi)容應(yīng)覆蓋審核條款的要求。8.僅二級(jí)/一級(jí)要求：使用配置管理工具對(duì)軟件項(xiàng)目進(jìn)行配置管理?，F(xiàn)場(chǎng)查看配置管理工具使用情況。9.僅二級(jí)/一級(jí)要求：配備專(zhuān)職的測(cè)試人員。人員管理文件，內(nèi)容應(yīng)覆蓋審核條款的要求。10.僅二級(jí)/一級(jí)要求：建立獨(dú)立的測(cè)試環(huán)境，確保

3、測(cè)試環(huán)境與開(kāi)發(fā)環(huán)境隔離。軟件開(kāi)發(fā)規(guī)范，開(kāi)發(fā)環(huán)境和測(cè)試環(huán)境說(shuō)明文檔。11.僅一級(jí)要求：建立軟硬件設(shè)備和工具等資源安全使用規(guī)范。資源安全使用規(guī)范；項(xiàng)目資源配備計(jì)劃，內(nèi)容應(yīng)覆蓋審核條款的要求。12.僅一級(jí)要求：配備安全管理人員。安全方面專(zhuān)職人員的任命文件，項(xiàng)目相關(guān)的安全監(jiān)控記錄。13.僅一級(jí)要求：建立變更控制委員會(huì)。變更控制委員會(huì)成員構(gòu)成與職責(zé)規(guī)定文件，變更管理控制相關(guān)記錄。14.需求階段調(diào)研項(xiàng)目背景信息，收集項(xiàng)目需求，明確軟件功能、性能及安全性要求。需求階段控制程序文件；需求階段項(xiàng)目文檔，內(nèi)容應(yīng)覆蓋審核條款的要求。需求階段項(xiàng)目文檔包括可行性報(bào)告、招標(biāo)文件、需求分析報(bào)告等。自評(píng)估結(jié)論序號(hào)要點(diǎn)條款需提

4、供證明材料符合不符合證明材料清單15.結(jié)合軟件項(xiàng)目需求、安全需求，與客戶(hù)充分溝通，達(dá)成共識(shí)并形成記錄。與客戶(hù)溝通的記錄。16.僅二級(jí)/一級(jí)要求：準(zhǔn)確識(shí)別和綜合分析軟件項(xiàng)目在可用性、完整性、真實(shí)性、機(jī)密性、不可否認(rèn)性、可控性和可靠性等方面的安全需求。17.僅二級(jí)/一級(jí)要求：對(duì)于數(shù)據(jù)米集、產(chǎn)生、使用，明確識(shí)別安全保護(hù)要求。18.僅二級(jí)/一級(jí)要求：基于客戶(hù)需求和投入能力，開(kāi)展需求分析，編制具有軟件安全需求的分析報(bào)告。需求分析報(bào)告，內(nèi)容應(yīng)覆蓋審核條款的要求。19.僅二級(jí)/一級(jí)要求：需求分析報(bào)告中明確項(xiàng)目開(kāi)發(fā)中使用的安全技術(shù)標(biāo)準(zhǔn)、規(guī)范。20.僅一級(jí)要求：基于軟件安全威脅、開(kāi)展需求分析，編制具有軟件安全需求的分析報(bào)告。21.僅一級(jí)要求：基于軟件項(xiàng)目需求分析，結(jié)合安全開(kāi)發(fā)要素建立軟件開(kāi)發(fā)模型。22.設(shè)計(jì)階段-概要設(shè)計(jì)根據(jù)軟件項(xiàng)目需求，編制軟件設(shè)計(jì)方案、設(shè)