軟件安全開發服務資質認證自評估表組織名稱申報級別評估時間評估部門/人員序號要點條款需提供證明材料自評估結論證明材料清單符合不符合1.2.3.4.5.準備階段在項目開發團隊中，明確軟件安全開發人員、職責。項目人員構成表或其他能體現項目組成員構成的文檔，其中明確項目組成員構成情況以及安全開發人員的角色及職責。在項目開發計劃中具有安全管控內容。項目開發計劃，計劃中應包含安全開發的內容。建立配置管理計劃，明確軟件項目配置管理的安全要求。項目配置管理計劃，包含安全相關活動。提供配置管理相關記錄。建立變更控制制度，明確軟件項目變更控制的安全要求。變更控制管理制度，提供項目變更控制記錄。制定軟件項目安全培訓計劃，對相關人員進行安全培訓。培訓管理制度，項目培訓計劃和培訓記錄。

自評估結論序號要點條款需提供證明材料符合不符合證明材料清單6.建立獨立的開發環境，確保開發環境與運行環境相互獨立。開發環境與運行環境配置的說明文檔。7.僅二級/一級要求：配備專職的軟件安全管理人員、測試人員。項目人員構成表或其他能體現項目組成員構成的文檔，設立專職的軟件安全管理人員、測試人員，并明確描述其職責。8.僅二級/一級要求：使用配置管理工具對軟件項目進行配置管理。配置管理計劃，其中描述米用的配置管理工具；現場查看配置管理工具使用情況。9.僅—級/級要求：建立軟件安全開發項目風險管理制度，對軟件項目進行風險管理。風險管理制度、風險管理計劃、風險分析報告。10.僅二級/—級要求：建立獨立測試環境，確保測試環境與開發環境相互獨立。開發環境與測試環境配置的說明文檔。11.僅一級要求：設立專門的安全管理組織，對項目進行安全監管。組織機構相關文件，其中明確設立安全管理部門，部門職責描述中包含對項目的安全監管。12.僅一級要求：制定軟件項目安全管理計劃，明確軟件安全開發過程管控措施。制定專門的項目安全管理計劃， 策劃軟件開發生命周期中的安全相關活動，明確定義軟件開發每一個階段的安全要素及管控措施。13.僅級要求：建立軟件安全風險庫。建立軟件安全風險庫，可按軟件產品類

自評估結論序號要點條款需提供證明材料符合不符合證明材料清單型、安全風險來源、安全風險級別、風險優先級等要求建立的軟件安全風險庫。14.僅一級要求：建立變更控制委員會。提供委員會成員及職責文檔。15.明確軟件項目安全需求，并在需求文檔中具有安全需求說明。16.僅二級/—級要求：基于客戶的軟件安全需求形成需求分析文檔。17.需求階僅二級/一級要求：需求分析文檔中明確項目開發中遵循的安全技術標準、規范。需求階段文檔，如需求規格說明書/需求分析報告等，內容滿足審核條款的要求。18.段僅二級/一級要求：需求分析文檔中明確數據安全保護要求。19.僅一級要求：識別軟件安全威脅，編制具有軟件安全需求的分析報告。20.僅一級要求：基于軟件項目需求分析，結合安全開發要素建立軟件開發過程全生命周期模型。項目計劃書或相關文檔，其中包括項目所建立的軟件安全開發生命周期模型。21.設計階軟件設計方案等文檔中明確系統 /子系統的功能和非功能設計要求。設計方案/設計說明書等，內谷滿足申核22.段軟件設計方案等文檔明確包含安全要求，包括標識與鑒別/訪冋控制/安全條款的要求。

自評估結論序號要點條款需提供證明材料符合不符合證明材料清單審計等。23.僅二級/一級要求：軟件設計方案等文檔明確安全要求，包括對數據產生、傳輸、存儲、使用、處理和歸檔的安全性。24.僅一級要求：軟件設計方案等文檔中明確基于軟件安全威脅分析的安全要求。25.僅一級要求：軟件設計方案等文檔中明確安全功能要求，還應包括抗抵賴、安全標記、可信路徑等。26.制定統一的安全編碼規范，確保開發人員參照規范安全編碼。軟件開發所使用語言的安全編碼規范， 規范內容包括但不限于代碼安全編寫的原貝V、方式、方法等。27.編碼階段依據設計文檔，對軟件進行安全編碼，在編碼過程中規避高危風險的漏洞。在編碼過程中，對規避高危風險的漏洞采取的方法或措施的文檔或記錄。28.僅二級/一級要求：軟件代碼要經過檢查、評審，對于發現的漏洞進行修復確認，并形成記錄。代碼檢查記錄、會議評審記錄等文檔，記錄中應包括漏洞修復后再確認的結果。29.僅二級/一級要求：編碼過程中使用的第三方開源代碼、組件等技術資源，安全性評估/審核記錄。

自評估結論序號要點條款需提供證明材料符合不符合證明材料清單需要通過安全性評估/審核。30.僅一級要求：建立評審機制。評審規程文件，包括評審流程、方式、方法等內容，提供評審記錄。31.僅一級要求：使用代碼檢杳工具，實施安全審查。代碼檢杳工具的檢杳結果記錄/報告。32.依據軟件設計文檔對軟件功能、安全功能進行測試。測試用例、測試記錄等文檔。33.測試階段對測試過程中發現的漏洞進行分析，并修復確認。漏洞分析、修復、確認的文檔。34.僅二級/一級要求：明確測試策略，制定測試計劃，進行測試，形成記錄。測試策略、測試計劃、測試記錄。35.僅二級/—級要求：制定脆弱性測試方案，對軟件漏洞進行測試，形成記錄。脆弱性測試方案，測試記錄。36.測試階段僅二級/一級要求：對軟件升級或改造，應進行兼容性和安全性測試，形成記錄。測試方案/計劃，其中應包括兼容性測試及改造后整體安全性的測試，提供測試記錄。37.僅一級要求：使用自動化測試工具進行安全測試。在測試過程中采用自動化測試工具進行軟件安全性測試的測試記錄/報告。38.僅一級要求：對測試結果進行分析，形成分析報告。測試分析報告，其中包括軟件安全測試的結果分析。

自評估結論序號要點條款需提供證明材料符合不符合證明材料清單39.僅級要求：基于軟件項目的安全要求，制定系統滲透性測試方案，對系統安全性進行測試，形成測試報告。滲透性測試方案、滲透性測試報告。40.對試運行的軟件系統進行安裝、 配置、維護，形成記錄。系統試運行過程相關記錄。41.向客戶提交的項目資料中，應明確軟件安全說明。用戶手冊/操作說明書等，其中應包括軟件使用、操作、運行安全性方面說明。42.軟件交付后，對于影響軟件系統安全、穩定運行的缺陷，及時有效采取打補丁、版本升級等方式予以消除，并提供技術支持服務。系統更新、升級記錄，以及為客戶提供支持的記錄。43.交付階段僅二級/一級要求：試運行結束后，形成系統試運行報告、軟件安全分析報告，并提交客戶。系統試運行報告、軟件安全分析報告。44.僅二級/一級要求：建立一致的事件響應流程，明確安全事件報告程序；針對軟件安全突發事件，建立應對機制。事件響應流程/系統維保計劃，突發事件響應和處理記錄。45.僅一級要求：制定系統運行計劃、事件響應計劃、事件應急預案，建立應急響應服務保障團隊。系統運行計劃、事件響應計劃、事件應急預案。46.僅一級要求：及時應對突發事件，并事件解決報告，可包括故障類別、原因分

序號47.48.要點條款需提供證明材料自評估結論證明材料清單符合不符合向用戶提供故障事件解決報告。析、解決方法、驗證等內容。僅一級要求：提交第二方機構或外部專家出具的或用戶認可的軟件產品最終安全評估分析報告。第二方專業機構/外部專家/用戶認可的軟件產品安全評估分析報告，可包括依據、方法、度量、結果、分析等內容。僅一級要求：制定軟件項目質保期內的健康檢查方案，并能有效實施。健康檢查方案，可包括時間節點、檢查方式、檢查內容等。提供檢杳報告。49.上一年度提出的觀察項跟蹤驗證情況（如有）50.51