1、軟件安全開發(fā)服務(wù)資質(zhì)認證自評估表組織名稱申報級別評估時間評估部門/人員自評估結(jié)論序號要點條款需提供證明材料符合不符合證明材料清單1.建立軟件項目安全開發(fā)團隊，明確各崗位、人員、職責。項目人員管理文件，項目安全開發(fā)組織機構(gòu)，人員配備、角色職責，明確安全管理人員及職責。2.制定軟件項目安全開發(fā)管理計劃，明確開發(fā)過程管控措施。安全開發(fā)計劃，明確里程碑管理、進度、管控措施等，內(nèi)容包括安全要素。3.準備階段建立軟件開發(fā)的配置管理計劃，明確配置管理的安全要求。配置管理計劃，內(nèi)容應(yīng)覆蓋審核條款的要求。4.建立變更控制制度，明確軟件項目變更控制的安全要求。變更控制制度，變更過程控制記錄，內(nèi)容應(yīng)覆蓋審核條款的要

2、求。5.制定軟件項目安全培訓計劃，對相關(guān)人員進行安全培訓。培訓管理制度，安全培訓計劃和記錄。自評估結(jié)論序號要點條款需提供證明材料符合不符合證明材料清單6.建立獨立的開發(fā)環(huán)境，確保開發(fā)環(huán)境與運行環(huán)境隔離。軟件開發(fā)規(guī)范，開發(fā)環(huán)境和運行環(huán)境說明文檔。7.僅二級/一級要求：建立軟件安全開發(fā)項目風險管理機制，對軟件項目進行風險評估。風險管理制度，風險分析報告，內(nèi)容應(yīng)覆蓋審核條款的要求。8.僅二級/一級要求：使用配置管理工具對軟件項目進行配置管理。現(xiàn)場查看配置管理工具使用情況。9.僅二級/一級要求：配備專職的測試人員。人員管理文件，內(nèi)容應(yīng)覆蓋審核條款的要求。10.僅二級/一級要求：建立獨立的測試環(huán)境，確保

3、測試環(huán)境與開發(fā)環(huán)境隔離。軟件開發(fā)規(guī)范，開發(fā)環(huán)境和測試環(huán)境說明文檔。11.僅一級要求：建立軟硬件設(shè)備和工具等資源安全使用規(guī)范。資源安全使用規(guī)范；項目資源配備計劃，內(nèi)容應(yīng)覆蓋審核條款的要求。12.僅一級要求：配備安全管理人員。安全方面專職人員的任命文件，項目相關(guān)的安全監(jiān)控記錄。13.僅一級要求：建立變更控制委員會。變更控制委員會成員構(gòu)成與職責規(guī)定文件，變更管理控制相關(guān)記錄。14.需求階段調(diào)研項目背景信息，收集項目需求，明確軟件功能、性能及安全性要求。需求階段控制程序文件；需求階段項目文檔，內(nèi)容應(yīng)覆蓋審核條款的要求。需求階段項目文檔包括可行性報告、招標文件、需求分析報告等。自評估結(jié)論序號要點條款需提

4、供證明材料符合不符合證明材料清單15.結(jié)合軟件項目需求、安全需求，與客戶充分溝通，達成共識并形成記錄。與客戶溝通的記錄。16.僅二級/一級要求：準確識別和綜合分析軟件項目在可用性、完整性、真實性、機密性、不可否認性、可控性和可靠性等方面的安全需求。17.僅二級/一級要求：對于數(shù)據(jù)米集、產(chǎn)生、使用，明確識別安全保護要求。18.僅二級/一級要求：基于客戶需求和投入能力，開展需求分析，編制具有軟件安全需求的分析報告。需求分析報告，內(nèi)容應(yīng)覆蓋審核條款的要求。19.僅二級/一級要求：需求分析報告中明確項目開發(fā)中使用的安全技術(shù)標準、規(guī)范。20.僅一級要求：基于軟件安全威脅、開展需求分析，編制具有軟件安全需求的分析報告。21.僅一級要求：基于軟件項目需求分析，結(jié)合安全開發(fā)要素建立軟件開發(fā)模型。22.設(shè)計階段-概要設(shè)計根據(jù)軟件項目需求，編制軟件設(shè)計方案、設(shè)