《软件安全开发服务资质认证自表》由会员分享，可在线阅读，更多相关《软件安全开发服务资质认证自表（10页珍藏版）》请在金锄头文库上搜索。
1、CCRC-QOT-0433-B/4 软件平安开发服务资质认证自评估表软件平安开发服务资质认证自评估表组织名称申报级别评估时间评估部门/人员序号要点条款需供应证明材料自评估结论证明材料清单符合不符合1.服务技术要求建立软件平安开发服务流程。软件平安开发服务流程，流程图中应包括每个阶段对应的职责、输入输出等。2.制定软件平安开发服务规范并依据规范实施。软件平安开发服务规范并依据规范实施。3.打算阶段建立软件项目平安开发团队，明确各岗位、人员、职责。项目人员构成表或其他能体现项目组成员构成的文档，其中明确项目组成员构成状况以及平安开发人员的角色及职责。4.制定软件项目平安开发管理安排，明确开发过程管
2、控措施。项目开发安排，安排中应包含平安开发的内容。5.建立软件开发的配置管理安排，明确配置管理的平安要求。项目配置管理安排，包含平安相关活动。供应配置管理相关记录。6.建立变更限制制度，明确软件项目变更限制的平安要求。变更限制管理制度，供应项目变更限制记录，变更的记录单，记录单中的内容应包含变更申请，审批，执行，执行后的评价结果。7.制定软件项目平安培训安排，对相关人员进行平安培训。培训管理制度，项目培训安排和培训记录。8.建立独立的开发环境，确保开发环境与运行环境隔离。开发环境与运行环境配置的说明文档。9.仅二级/一级要求：建立软件平安开发项目风险管理机制，对软件项目进行风险评估。风险管理制
3、度、风险管理安排、风险分析报告。10.仅二级/一级要求：运用配置管理工具对软件项目进行配置管理。配置管理安排，其中描述采纳的配置管理工具；配置管理工具的运用状况介绍。11.仅二级/一级要求：配备专职的测试人员。项目人员构成表或其他能体现项目组成员构成的文档，设立专职的测试人员，并明确描述其职责。12.仅二级/一级要求：建立独立的测试环境，确保测试环境与开发环境隔离。开发环境与测试环境配置的说明文档。13.仅一级要求：建立软硬件设备和工具等资源平安运用规范。软硬件设备及工具平安运用规范；软硬件设备及工具资源配备安排。14.仅一级要求：配备平安管理人员。平安管理专职人员的任命文件，项目相关的平安监
4、控记录。15.仅一级要求：建立变更限制委员会。变更限制委员会成员构成与职责规定文件。16.需求阶段调研项目背景信息，收集项目需求，明确软件功能、性能及平安方面的要求。需求阶段限制程序文件；需求阶段项目文档，包括可行性报告、招标文件、需求分析报告等，需求文档的内容应涉及软件功能、性能及平安性要求。17.结合软件项目需求、平安需求，与客户充分沟通，达成共识并形成记录。与客户沟通的记录。18.仅二级/一级要求：精确识别和综合分析软件项目在可用性、完整性、真实性、机密性、不行否认性、可控性和牢靠性等方面的平安需求。需求分析报告，内容应覆盖条款的要求。19.仅二级/一级要求：对于数据采集、产生、运用，明
5、确识别平安爱护要求。20.仅二级/一级要求：基于客户需求，开展需求分析，编制具有软件平安需求的分析报告。21.仅二级/一级要求：需求分析报告中明确项目开发中运用的平安技术标准、规范。22.仅一级要求：应基于软件平安威逼开展需求分析。23.仅一级要求：基于软件项目需求分析建立软件平安开发模型。24.设计阶段依据软件项目需求，编制软件设计说明书。设计阶段限制程序文件；供应软件设计说明书，内容应覆盖条款的要求。25.软件设计说明书明确系统/子系统的功能和非功能设计要求。26.软件设计说明书明确包含平安功能要求，包括标识与鉴别、访问限制、平安审计和平安管理等。27.设计阶段-概要设计仅二级/一级要求：
6、概要设计说明书应明确数据完整性和保密性、通信完整性和保密性、软件容错、资源限制等平安功能要求。设计阶段限制程序文件；供应概要设计说明书，内容应覆盖条款的要求。28.仅一级要求：概要设计说明书中应明确基于软件平安威逼分析的平安要求。29.仅一级要求：当开发场景适用时，概要设计说明书中应明确抗抵赖、平安标记、可信路径等平安功能要求。30.设计阶段-具体设计仅二级/一级要求：具体设计说明书中应包含对数据产生、传输、存储、运用、处理和归档平安方面的具体设计。具体设计说明书，内容应覆盖条款的要求。31.仅一级要求：依据平安要求和概要设计说明书，明确基于软件平安威逼分析进行具体设计。32.编码阶段制定统一
7、的代码平安编码规范，确保开发人员参照规范平安编码。软件开发所运用语言的平安编码规范，规范内容包括但不限于代码平安编写的原则、方式、方法等。33.依据具体设计说明书，对软件进行平安编码。在编码过程中，对规避高危风险的漏洞实行的方法或措施的文档或记录。34.软件代码要经过平安检查、评审，对于发觉的漏洞能有效修复。代码平安检查、评审记录，对发觉的漏洞，供应漏洞修复与验证记录。35.仅二级/一级要求：软件代码的平安检查、评审工作应形成记录。代码检查、审核相关记录。36.仅一级要求：采纳自动化工具对代码平安漏洞进行审查，对于发觉的漏洞能有效修复，并形成审查报告。代码检查工具的检查结果记录/报告。37.测
8、试阶段依据软件设计说明书对软件功能、平安功能进行测试。测试方案、测试安排，供应软件功能测试、平安性测试记录与报告。38.对测试发觉的漏洞进行分析并有效修复。漏洞发觉、分析与修复的记录。39.测试阶段-单元测试仅二级/一级要求：明确单元测试策略，制定单元测试安排。单元测试的测试策略、测试安排。40.仅二级/一级要求：依据具体设计说明书和测试安排进行单元测试设计，并执行单元测试，形成测试记录。单元测试用例设计、测试记录。41.仅一级要求：对单元测试结果进行分析，形成分析报告。单元测试分析报告。42.测试阶段-集成测试仅二级/一级要求：明确集成测试策略，制定集成测试安排。集成测试的测试策略、测试安排
9、。43.仅二级/一级要求：依据概要设计方案和测试安排进行集成测试设计，并执行集成测试，形成测试记录。集成测试用例设计、测试记录。44.仅一级要求：对集成测试结果进行分析，形成分析报告。集成测试分析报告。45.测试阶段-系统测试仅二级/一级要求：制定包括系统平安性测试在内的测试安排，并执行系统测试，形成测试记录。平安性测试安排和测试用例设计文档、测试记录。46.47.仅二级/一级要求：基于软件平安功能的平安要求，制定脆弱性测试方案，对平安漏洞进行测试，形成测试记录。脆弱性测试方案、测试记录。48.仅二级/一级要求：对系统测试结果进行分析，形成分析报告。测试分析报告，其中包括软件平安测试的结果分析
10、。49.仅一级要求：基于软件项目的平安要求，制定系统渗透性测试方案，模拟攻击场景，对系统平安性进行测试，并形成分析报告。渗透性测试方案、渗透测试记录和渗透测试报告。50.验收阶段-系统试运行测试系统运行的牢靠性、稳定性和平安性，进行试运行，并记录系统运行状况，试运行周期至少一个月。系统试运行相关记录。51.基于系统试运行相关记录，刚好对软件进行调整、维护。系统调整、维护记录。52.仅二级/一级要求：试运行结束后，制定系统试运行报告，并提交客户。系统试运行报告。53.仅一级要求：供应三个月以上的试运行记录和报告。系统试运行记录和报告。54.仅一级要求：综合软件系统试运行状态，建立软件系统运行策略
11、和平安指南。系统运行策略、平安指南。55.验收阶段-验收交付依据合同约定，向客户提交完整的项目资料及交付物，并提出验收申请。验收申请、验收资料、验收报告。56.依据合同约定，进行项目验收，形成项目验收报告。57.仅二级/一级要求：提交软件平安测评报告。软件平安测评报告。58.仅一级要求：提交软件产品第三方平安测评报告或平安认证证书。专家/第三方权威机构出具的软件产品平安测评报告或平安认证证书。59.维保阶段对于影响软件系统平安、稳定运行的缺陷，刚好有效实行打补丁、版本升级等方式予以消退，并供应远程技术支持服务。巡查记录、故障记录、升级记录等。60.仅二级/一级要求：制定系统运行安排、平安事务响
12、应安排、平安事务应急预案，建立应急响应服务保障团队。系统运行安排、平安事务响应安排、平安事务应急预案；应急保障团队人员组织构成和职责规定文件；应急事务记录。61.仅二级/一级要求：刚好应对突发平安事务，并向用户供应平安事务解决报告。62.仅一级要求：制定软件健康检查安排、方案，定期实施，提交相应的系统健康检查报告、巡检报告。健康检查安排、方案、系统健康检查报告、巡检报告、系统优化改进记录。63.仅一级要求：依据健康检查报告进行分析，持续优化系统。64.上一年度提出的视察项整改状况（如有）65.66.67.上一年度提出的不符合项整改状况（如有）68.69.中国网络平安审查技术与认证中心 制 第 9 页 共 10 页自评估结论：经自主评估，本单位的软件平安开发服务满意信息平安服务 规范_级要求，申请第三方审核。本单位慎重承诺，信息平安服务资质认证自评估表-公共管理与本自评估表中所供应全部信息真实可信，且均可供应相应证明材料。中国网络平安审查技术与认证中心 制 第 10 页 共 10 页
