軟件安全開發(fā)服務(wù)資質(zhì)認(rèn)證自評(píng)價(jià)表

軟件安全開發(fā)服務(wù)資質(zhì)認(rèn)證自評(píng)估表組織名稱申報(bào)級(jí)別評(píng)估時(shí)間評(píng)估部門/人員序號(hào)要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合1.2.3.4.5.準(zhǔn)備階段在項(xiàng)目開發(fā)團(tuán)隊(duì)中，明確軟件安全開發(fā)人員、職責(zé)。項(xiàng)目人員構(gòu)成表或其他能體現(xiàn)項(xiàng)目組成員構(gòu)成的文檔，其中明確項(xiàng)目組成員構(gòu)成情況以及安全開發(fā)人員的角色及職責(zé)。在項(xiàng)目開發(fā)計(jì)劃中具有安全管控內(nèi)容。項(xiàng)目開發(fā)計(jì)劃，計(jì)劃中應(yīng)包含安全開發(fā)的內(nèi)容。建立配置管理計(jì)劃，明確軟件項(xiàng)目配置管理的安全要求。項(xiàng)目配置管理計(jì)劃，包含安全相關(guān)活動(dòng)。提供配置管理相關(guān)記錄。建立變更控制制度，明確軟件項(xiàng)目變更控制的安全要求。變更控制管理制度，提供項(xiàng)目變更控制記錄。制定軟件項(xiàng)目安全培訓(xùn)計(jì)劃，對(duì)相關(guān)人員進(jìn)行安全培訓(xùn)。培訓(xùn)管理制度，項(xiàng)目培訓(xùn)計(jì)劃和培訓(xùn)記錄。

自評(píng)估結(jié)論序號(hào)要點(diǎn)條款需提供證明材料符合不符合證明材料清單6.建立獨(dú)立的開發(fā)環(huán)境，確保開發(fā)環(huán)境與運(yùn)行環(huán)境相互獨(dú)立。開發(fā)環(huán)境與運(yùn)行環(huán)境配置的說明文檔。7.僅二級(jí)/一級(jí)要求：配備專職的軟件安全管理人員、測(cè)試人員。項(xiàng)目人員構(gòu)成表或其他能體現(xiàn)項(xiàng)目組成員構(gòu)成的文檔，設(shè)立專職的軟件安全管理人員、測(cè)試人員，并明確描述其職責(zé)。8.僅二級(jí)/一級(jí)要求：使用配置管理工具對(duì)軟件項(xiàng)目進(jìn)行配置管理。配置管理計(jì)劃，其中描述米用的配置管理工具；現(xiàn)場(chǎng)查看配置管理工具使用情況。9.僅—級(jí)/級(jí)要求：建立軟件安全開發(fā)項(xiàng)目風(fēng)險(xiǎn)管理制度，對(duì)軟件項(xiàng)目進(jìn)行風(fēng)險(xiǎn)管理。風(fēng)險(xiǎn)管理制度、風(fēng)險(xiǎn)管理計(jì)劃、風(fēng)險(xiǎn)分析報(bào)告。10.僅二級(jí)/—級(jí)要求：建立獨(dú)立測(cè)試環(huán)境，確保測(cè)試環(huán)境與開發(fā)環(huán)境相互獨(dú)立。開發(fā)環(huán)境與測(cè)試環(huán)境配置的說明文檔。11.僅一級(jí)要求：設(shè)立專門的安全管理組織，對(duì)項(xiàng)目進(jìn)行安全監(jiān)管。組織機(jī)構(gòu)相關(guān)文件，其中明確設(shè)立安全管理部門，部門職責(zé)描述中包含對(duì)項(xiàng)目的安全監(jiān)管。12.僅一級(jí)要求：制定軟件項(xiàng)目安全管理計(jì)劃，明確軟件安全開發(fā)過程管控措施。制定專門的項(xiàng)目安全管理計(jì)劃， 策劃軟件開發(fā)生命周期中的安全相關(guān)活動(dòng)，明確定義軟件開發(fā)每一個(gè)階段的安全要素及管控措施。13.僅級(jí)要求：建立軟件安全風(fēng)險(xiǎn)庫(kù)。建立軟件安全風(fēng)險(xiǎn)庫(kù)，可按軟件產(chǎn)品類

自評(píng)估結(jié)論序號(hào)要點(diǎn)條款需提供證明材料符合不符合證明材料清單型、安全風(fēng)險(xiǎn)來源、安全風(fēng)險(xiǎn)級(jí)別、風(fēng)險(xiǎn)優(yōu)先級(jí)等要求建立的軟件安全風(fēng)險(xiǎn)庫(kù)。14.僅一級(jí)要求：建立變更控制委員會(huì)。提供委員會(huì)成員及職責(zé)文檔。15.明確軟件項(xiàng)目安全需求，并在需求文檔中具有安全需求說明。16.僅二級(jí)/—級(jí)要求：基于客戶的軟件安全需求形成需求分析文檔。17.需求階僅二級(jí)/一級(jí)要求：需求分析文檔中明確項(xiàng)目開發(fā)中遵循的安全技術(shù)標(biāo)準(zhǔn)、規(guī)范。需求階段文檔，如需求規(guī)格說明書/需求分析報(bào)告等，內(nèi)容滿足審核條款的要求。18.段僅二級(jí)/一級(jí)要求：需求分析文檔中明確數(shù)據(jù)安全保護(hù)要求。19.僅一級(jí)要求：識(shí)別軟件安全威脅，編制具有軟件安全需求的分析報(bào)告。20.僅一級(jí)要求：基于軟件項(xiàng)目需求分析，結(jié)合安全開發(fā)要素建立軟件開發(fā)過程全生命周期模型。項(xiàng)目計(jì)劃書或相關(guān)文檔，其中包括項(xiàng)目所建立的軟件安全開發(fā)生命周期模型。21.設(shè)計(jì)階軟件設(shè)計(jì)方案等文檔中明確系統(tǒng) /子系統(tǒng)的功能和非功能設(shè)計(jì)要求。設(shè)計(jì)方案/設(shè)計(jì)說明書等，內(nèi)谷滿足申核22.段軟件設(shè)計(jì)方案等文檔明確包含安全要求，包括標(biāo)識(shí)與鑒別/訪冋控制/安全條款的要求。

自評(píng)估結(jié)論序號(hào)要點(diǎn)條款需提供證明材料符合不符合證明材料清單審計(jì)等。23.僅二級(jí)/一級(jí)要求：軟件設(shè)計(jì)方案等文檔明確安全要求，包括對(duì)數(shù)據(jù)產(chǎn)生、傳輸、存儲(chǔ)、使用、處理和歸檔的安全性。24.僅一級(jí)要求：軟件設(shè)計(jì)方案等文檔中明確基于軟件安全威脅分析的安全要求。25.僅一級(jí)要求：軟件設(shè)計(jì)方案等文檔中明確安全功能要求，還應(yīng)包括抗抵賴、安全標(biāo)記、可信路徑等。26.制定統(tǒng)一的安全編碼規(guī)范，確保開發(fā)人員參照規(guī)范安全編碼。軟件開發(fā)所使用語(yǔ)言的安全編碼規(guī)范， 規(guī)范內(nèi)容包括但不限于代碼安全編寫的原貝V、方式、方法等。27.編碼階段依據(jù)設(shè)計(jì)文檔，對(duì)軟件進(jìn)行安全編碼，在編碼過程中規(guī)避高危風(fēng)險(xiǎn)的漏洞。在編碼過程中，對(duì)規(guī)避高危風(fēng)險(xiǎn)的漏洞采取的方法或措施的文檔或記錄。28.僅二級(jí)/一級(jí)要求：軟件代碼要經(jīng)過檢查、評(píng)審，對(duì)于發(fā)現(xiàn)的漏洞進(jìn)行修復(fù)確認(rèn)，并形成記錄。代碼檢查記錄、會(huì)議評(píng)審記錄等文檔，記錄中應(yīng)包括漏洞修復(fù)后再確認(rèn)的結(jié)果。29.僅二級(jí)/一級(jí)要求：編碼過程中使用的第三方開源代碼、組件等技術(shù)資源，安全性評(píng)估/審核記錄。

自評(píng)估結(jié)論序號(hào)要點(diǎn)條款需提供證明材料符合不符合證明材料清單需要通過安全性評(píng)估/審核。30.僅一級(jí)要求：建立評(píng)審機(jī)制。評(píng)審規(guī)程文件，包括評(píng)審流程、方式、方法等內(nèi)容，提供評(píng)審記錄。31.僅一級(jí)要求：使用代碼檢杳工具，實(shí)施安全審查。代碼檢杳工具的檢杳結(jié)果記錄/報(bào)告。32.依據(jù)軟件設(shè)計(jì)文檔對(duì)軟件功能、安全功能進(jìn)行測(cè)試。測(cè)試用例、測(cè)試記錄等文檔。33.測(cè)試階段對(duì)測(cè)試過程中發(fā)現(xiàn)的漏洞進(jìn)行分析，并修復(fù)確認(rèn)。漏洞分析、修復(fù)、確認(rèn)的文檔。34.僅二級(jí)/一級(jí)要求：明確測(cè)試策略，制定測(cè)試計(jì)劃，進(jìn)行測(cè)試，形成記錄。測(cè)試策略、測(cè)試計(jì)劃、測(cè)試記錄。35.僅二級(jí)/—級(jí)要求：制定脆弱性測(cè)試方案，對(duì)軟件漏洞進(jìn)行測(cè)試，形成記錄。脆弱性測(cè)試方案，測(cè)試記錄。36.測(cè)試階段僅二級(jí)/一級(jí)要求：對(duì)軟件升級(jí)或改造，應(yīng)進(jìn)行兼容性和安全性測(cè)試，形成記錄。測(cè)試方案/計(jì)劃，其中應(yīng)包括兼容性測(cè)試及改造后整體安全性的測(cè)試，提供測(cè)試記錄。37.僅一級(jí)要求：使用自動(dòng)化測(cè)試工具進(jìn)行安全測(cè)試。在測(cè)試過程中采用自動(dòng)化測(cè)試工具進(jìn)行軟件安全性測(cè)試的測(cè)試記錄/報(bào)告。38.僅一級(jí)要求：對(duì)測(cè)試結(jié)果進(jìn)行分析，形成分析報(bào)告。測(cè)試分析報(bào)告，其中包括軟件安全測(cè)試的結(jié)果分析。

自評(píng)估結(jié)論序號(hào)要點(diǎn)條款需提供證明材料符合不符合證明材料清單39.僅級(jí)要求：基于軟件項(xiàng)目的安全要求，制定系統(tǒng)滲透性測(cè)試方案，對(duì)系統(tǒng)安全性進(jìn)行測(cè)試，形成測(cè)試報(bào)告。滲透性測(cè)試方案、滲透性測(cè)試報(bào)告。40.對(duì)試運(yùn)行的軟件系統(tǒng)進(jìn)行安裝、 配置、維護(hù)，形成記錄。系統(tǒng)試運(yùn)行過程相關(guān)記錄。41.向客戶提交的項(xiàng)目資料中，應(yīng)明確軟件安全說明。用戶手冊(cè)/操作說明書等，其中應(yīng)包括軟件使用、操作、運(yùn)行安全性方面說明。42.軟件交付后，對(duì)于影響軟件系統(tǒng)安全、穩(wěn)定運(yùn)行的缺陷，及時(shí)有效采取打補(bǔ)丁、版本升級(jí)等方式予以消除，并提供技術(shù)支持服務(wù)。系統(tǒng)更新、升級(jí)記錄，以及為客戶提供支持的記錄。43.交付階段僅二級(jí)/一級(jí)要求：試運(yùn)行結(jié)束后，形成系統(tǒng)試運(yùn)行報(bào)告、軟件安全分析報(bào)告，并提交客戶。系統(tǒng)試運(yùn)行報(bào)告、軟件安全分析報(bào)告。44.僅二級(jí)/一級(jí)要求：建立一致的事件響應(yīng)流程，明確安全事件報(bào)告程序；針對(duì)軟件安全突發(fā)事件，建立應(yīng)對(duì)機(jī)制。事件響應(yīng)流程/系統(tǒng)維保計(jì)劃，突發(fā)事件響應(yīng)和處理記錄。45.僅一級(jí)要求：制定系統(tǒng)運(yùn)行計(jì)劃、事件響應(yīng)計(jì)劃、事件應(yīng)急預(yù)案，建立應(yīng)急響應(yīng)服務(wù)保障團(tuán)隊(duì)。系統(tǒng)運(yùn)行計(jì)劃、事件響應(yīng)計(jì)劃、事件應(yīng)急預(yù)案。46.僅一級(jí)要求：及時(shí)應(yīng)對(duì)突發(fā)事件，并事件解決報(bào)告，可包括故障類別、原因分

序號(hào)47.48.要點(diǎn)條款需提供證明材料自評(píng)估結(jié)論證明材料清單符合不符合向用戶提供故障事件解決報(bào)告。析、解決方法、驗(yàn)證等內(nèi)容。僅一級(jí)要求：提交第二方機(jī)構(gòu)或外部專家出具的或用戶認(rèn)可的軟件產(chǎn)品最終安全評(píng)估分析報(bào)告。第二方專業(yè)機(jī)構(gòu)/外部專家/用戶認(rèn)可的軟件產(chǎn)品安全評(píng)估分析報(bào)告，可包括依據(jù)、方法、度量、結(jié)果、分析等內(nèi)容。僅一級(jí)要求：制定軟件項(xiàng)目質(zhì)保期內(nèi)的健康檢查方案，并能有效實(shí)施。健康檢查方案，可包括時(shí)間節(jié)點(diǎn)、檢查方式、檢查內(nèi)容等。提供檢杳報(bào)告。49.上一年度提出的觀察項(xiàng)跟蹤驗(yàn)證情況（如有）50.51