軟件安全開發(fā)服務(wù)資質(zhì)認證自評估表組織名稱申報級別評估時間評估部門/人員序號要點條款需提供證明材料自評估結(jié)論證明材料清單符合不符合1.2.3.4.5.準備階段在項目開發(fā)團隊中，明確軟件安全開發(fā)人員、職責。項目人員構(gòu)成表或其他能體現(xiàn)項目組成員構(gòu)成的文檔，其中明確項目組成員構(gòu)成情況以及安全開發(fā)人員的角色及職責。在項目開發(fā)計劃中具有安全管控內(nèi)容。項目開發(fā)計劃，計劃中應(yīng)包含安全開發(fā)的內(nèi)容。建立配置管理計劃，明確軟件項目配置管理的安全要求。項目配置管理計劃，包含安全相關(guān)活動。提供配置管理相關(guān)記錄。建立變更控制制度，明確軟件項目變更控制的安全要求。變更控制管理制度，提供項目變更控制記錄。制定軟件項目安全培訓(xùn)計劃，對相關(guān)人員進行安全培訓(xùn)。培訓(xùn)管理制度，項目培訓(xùn)計劃和培訓(xùn)記錄。

自評估結(jié)論序號要點條款需提供證明材料符合不符合證明材料清單6.建立獨立的開發(fā)環(huán)境，確保開發(fā)環(huán)境與運行環(huán)境相互獨立。開發(fā)環(huán)境與運行環(huán)境配置的說明文檔。7.僅二級/一級要求：配備專職的軟件安全管理人員、測試人員。項目人員構(gòu)成表或其他能體現(xiàn)項目組成員構(gòu)成的文檔，設(shè)立專職的軟件安全管理人員、測試人員，并明確描述其職責。8.僅二級/一級要求：使用配置管理工具對軟件項目進行配置管理。配置管理計劃，其中描述米用的配置管理工具；現(xiàn)場查看配置管理工具使用情況。9.僅—級/級要求：建立軟件安全開發(fā)項目風險管理制度，對軟件項目進行風險管理。風險管理制度、風險管理計劃、風險分析報告。10.僅二級/—級要求：建立獨立測試環(huán)境，確保測試環(huán)境與開發(fā)環(huán)境相互獨立。開發(fā)環(huán)境與測試環(huán)境配置的說明文檔。11.僅一級要求：設(shè)立專門的安全管理組織，對項目進行安全監(jiān)管。組織機構(gòu)相關(guān)文件，其中明確設(shè)立安全管理部門，部門職責描述中包含對項目的安全監(jiān)管。12.僅一級要求：制定軟件項目安全管理計劃，明確軟件安全開發(fā)過程管控措施。制定專門的項目安全管理計劃， 策劃軟件開發(fā)生命周期中的安全相關(guān)活動，明確定義軟件開發(fā)每一個階段的安全要素及管控措施。13.僅級要求：建立軟件安全風險庫。建立軟件安全風險庫，可按軟件產(chǎn)品類

自評估結(jié)論序號要點條款需提供證明材料符合不符合證明材料清單型、安全風險來源、安全風險級別、風險優(yōu)先級等要求建立的軟件安全風險庫。14.僅一級要求：建立變更控制委員會。提供委員會成員及職責文檔。15.明確軟件項目安全需求，并在需求文檔中具有安全需求說明。16.僅二級/—級要求：基于客戶的軟件安全需求形成需求分析文檔。17.需求階僅二級/一級要求：需求分析文檔中明確項目開發(fā)中遵循的安全技術(shù)標準、規(guī)范。需求階段文檔，如需求規(guī)格說明書/需求分析報告等，內(nèi)容滿足審核條款的要求。18.段僅二級/一級要求：需求分析文檔中明確數(shù)據(jù)安全保護要求。19.僅一級要求：識別軟件安全威脅，編制具有軟件安全需求的分析報告。20.僅一級要求：基于軟件項目需求分析，結(jié)合安全開發(fā)要素建立軟件開發(fā)過程全生命周期模型。項目計劃書或相關(guān)文檔，其中包括項目所建立的軟件安全開發(fā)生命周期模型。21.設(shè)計階軟件設(shè)計方案等文檔中明確系統(tǒng) /子系統(tǒng)的功能和非功能設(shè)計要求。設(shè)計方案/設(shè)計說明書等，內(nèi)谷滿足申核22.段軟件設(shè)計方案等文檔明確包含安全要求，包括標識與鑒別/訪冋控制/安全條款的要求。

自評估結(jié)論序號要點條款需提供證明材料符合不符合證明材料清單審計等。23.僅二級/一級要求：軟件設(shè)計方案等文檔明確安全要求，包括對數(shù)據(jù)產(chǎn)生、傳輸、存儲、使用、處理和歸檔的安全性。24.僅一級要求：軟件設(shè)計方案等文檔中明確基于軟件安全威脅分析的安全要求。25.僅一級要求：軟件設(shè)計方案等文檔中明確安全功能要求，還應(yīng)包括抗抵賴、安全標記、可信路徑等。26.制定統(tǒng)一的安全編碼規(guī)范，確保開發(fā)人員參照規(guī)范安全編碼。軟件開發(fā)所使用語言的安全編碼規(guī)范， 規(guī)范內(nèi)容包括但不限于代碼安全編寫的原貝V、方式、方法等。27.編碼階段依據(jù)設(shè)計文檔，對軟件進行安全編碼，在編碼過程中規(guī)避高危風險的漏洞。在編碼過程中，對規(guī)避高危風險的漏洞采取的方法或措施的文檔或記錄。28.僅二級/一級要求：軟件代碼要經(jīng)過檢查、評審，對于發(fā)現(xiàn)的漏洞進行修復(fù)確認，并形成記錄。代碼檢查記錄、會議評審記錄等文檔，記錄中應(yīng)包括漏洞修復(fù)后再確認的結(jié)果。29.僅二級/一級要求：編碼過程中使用的第三方開源代碼、組件等技術(shù)資源，安全性評估/審核記錄。

自評估結(jié)論序號要點條款需提供證明材料符合不符合證明材料清單需要通過安全性評估/審核。30.僅一級要求：建立評審機制。評審規(guī)程文件，包括評審流程、方式、方法等內(nèi)容，提供評審記錄。31.僅一級要求：使用代碼檢杳工具，實施安全審查。代碼檢杳工具的檢杳結(jié)果記錄/報告。32.依據(jù)軟件設(shè)計文檔對軟件功能、安全功能進行測試。測試用例、測試記錄等文檔。33.測試階段對測試過程中發(fā)現(xiàn)的漏洞進行分析，并修復(fù)確認。漏洞分析、修復(fù)、確認的文檔。34.僅二級/一級要求：明確測試策略，制定測試計劃，進行測試，形成記錄。測試策略、測試計劃、測試記錄。35.僅二級/—級要求：制定脆弱性測試方案，對軟件漏洞進行測試，形成記錄。脆弱性測試方案，測試記錄。36.測試階段僅二級/一級要求：對軟件升級或改造，應(yīng)進行兼容性和安全性測試，形成記錄。測試方案/計劃，其中應(yīng)包括兼容性測試及改造后整體安全性的測試，提供測試記錄。37.僅一級要求：使用自動化測試工具進行安全測試。在測試過程中采用自動化測試工具進行軟件安全性測試的測試記錄/報告。38.僅一級要求：對測試結(jié)果進行分析，形成分析報告。測試分析報告，其中包括軟件安全測試的結(jié)果分析。

自評估結(jié)論序號要點條款需提供證明材料符合不符合證明材料清單39.僅級要求：基于軟件項目的安全要求，制定系統(tǒng)滲透性測試方案，對系統(tǒng)安全性進行測試，形成測試報告。滲透性測試方案、滲透性測試報告。40.對試運行的軟件系統(tǒng)進行安裝、 配置、維護，形成記錄。系統(tǒng)試運行過程相關(guān)記錄。41.向客戶提交的項目資料中，應(yīng)明確軟件安全說明。用戶手冊/操作說明書等，其中應(yīng)包括軟件使用、操作、運行安全性方面說明。42.軟件交付后，對于影響軟件系統(tǒng)安全、穩(wěn)定運行的缺陷，及時有效采取打補丁、版本升級等方式予以消除，并提供技術(shù)支持服務(wù)。系統(tǒng)更新、升級記錄，以及為客戶提供支持的記錄。43.交付階段僅二級/一級要求：試運行結(jié)束后，形成系統(tǒng)試運行報告、軟件安全分析報告，并提交客戶。系統(tǒng)試運行報告、軟件安全分析報告。44.僅二級/一級要求：建立一致的事件響應(yīng)流程，明確安全事件報告程序；針對軟件安全突發(fā)事件，建立應(yīng)對機制。事件響應(yīng)流程/系統(tǒng)維保計劃，突發(fā)事件響應(yīng)和處理記錄。45.僅一級要求：制定系統(tǒng)運行計劃、事件響應(yīng)計劃、事件應(yīng)急預(yù)案，建立應(yīng)急響應(yīng)服務(wù)保障團隊。系統(tǒng)運行計劃、事件響應(yīng)計劃、事件應(yīng)急預(yù)案。46.僅一級要求：及時應(yīng)對突發(fā)事件，并事件解決報告，可包括故障類別、原因分

序號47.48.要點條款需提供證明材料自評估結(jié)論證明材料清單符合不符合向用戶提供故障事件解決報告。析、解決方法、驗證等內(nèi)容。僅一級要求：提交第二方機構(gòu)或外部專家出具的或用戶認可的軟件產(chǎn)品最終安全評估分析報告。第二方專業(yè)機構(gòu)/外部專家/用戶認可的軟件產(chǎn)品安全評估分析報告，可包括依據(jù)、方法、度量、結(jié)果、分析等內(nèi)容。僅一級要求：制定軟件項目質(zhì)保期內(nèi)的健康檢查方案，并能有效實施。健康檢查方案，可包括時間節(jié)點、檢查方式、檢查內(nèi)容等。提供檢杳報告。49.上一年度提出的觀察項跟蹤驗證情況（如有）50.51