【文章內(nèi)容簡介】 0T L 9 0 0 0Bal d r ig eE IA 6 3 2E I A/ IS 632I E E E 1 2 2 0E IA / I S 731SEC AMSE CM MI P D CM M *I S O 1 5 9 3 9 *SA CM MF AA iCM M SSE CM MSW CM MP e o p le CM MPSPT S PCM M IM I L S T D 4 9 9 B*F A M * *I S O / I E C 2 1 8 2 7系列過程標準質(zhì)量標準成熟度或能力模型評估方法指南字體傾斜 ：過時有邊框：綜合替代基于使用 / 參考字體傾斜 ：過時有邊框：綜合參考P M Bo KE CS S E 1038 知識域： 安全工程能力成熟度模型 ? 知識子域： SSECMM體系與原理 ? 了解 SSECMM的適用范圍 ? 了解過程、過程區(qū)和過程能力的概念 ? 了解域維 /安全過程區(qū)與能力維 /公共特征的關系 ? 知識子域： 安全工程過程區(qū)域 ? 了解過程類、過程區(qū)和基本實施的關系 ? 理解風險過程、工程過程和保證過程的含義 ? 了解各個安全工程過程區(qū)的含義 ? 知識子域： 安全工程能力評價 ? 理解能力級別、公共特征和通用實施的關系 ? 理解各個信息安全工程能力級別的含義 39 什么是系統(tǒng)安全工程 ?系統(tǒng)安全工程的主要目標是： ? 獲得對企業(yè)安全風險的理解 ? 根據(jù)已識別的風險確定安全需求 ? 將安全需求轉換成指導系統(tǒng)開發(fā)、集成和維護的指導原則 ? 通過正確有效的安全控制措施建立信息和保證 ? 判斷系統(tǒng)的殘留風險是否可以接受 40 不能將系統(tǒng)安全工程理解為專門針對安全作的一個項目，系統(tǒng)安全工程是系統(tǒng)建設活動中有關加強系統(tǒng)安全性的活動的集合，是系統(tǒng)獲取開發(fā)活動的子集 為什么要學習安全工程能力成熟度模型 ?SSECMM為信息安全工程過程改進建立一個框架模型 ?通過 SSECMM的學習了解 ? 信息安全工程中通常要實施的活動有哪些，即信息安全工程中包括的過程有哪些 ? 評價和改進這些過程的指標是什么，即實施信息安全工程應當追求的過程能力 41 什么是 SSECMM ? 系統(tǒng)安全工程能力成熟模型（ Systems Security Engineering Capability Maturity Model） ? 描述了一個 組織 的 系統(tǒng)安全工程過程 必須包含的 基本特征 ? 這些特征是完善的安全工程 保證 ? 也是系統(tǒng)安全工程實施的 度量標準 ? 同時還是一個易于理解的評估系統(tǒng)安全工程實施的 框架 42 SSECMM的作用 ?獲取組織 （系統(tǒng)、產(chǎn)品的采購方） ? 幫助選擇合格的投標者，以統(tǒng)一的標準對安全工程過程進行監(jiān)管提高工程實施質(zhì)量，減少爭議 ?工程組織 （系統(tǒng)開發(fā)和集成商） ? 通過可重復、可預測的過程減少返工、提高質(zhì)量、降低成本；改進安全工程實施能力；獲得證明安全工程實施能力的資質(zhì) ?認證評估組織 ? 獲得獨立于系統(tǒng)和產(chǎn)品的可重用的過程評估標準，用來確定被評估者將安全工程集成在系統(tǒng)工程之中，并且其系統(tǒng)安全工程是可信的 43 SSECMM覆蓋范圍 ?SSECMM涉及到可信產(chǎn)品或者系統(tǒng) 整個生命周期 的安全工程活動，其中包括概念定義、需求分析、設計、開發(fā)、集成、安裝、運行、維護和終止。 ? 覆蓋整個組織的活動 ，包括管理、組織和工程活動等，而不僅僅是系統(tǒng)安全的工程活動； ? 它 不是孤立了工程 ，而是與其它工程并行且相互作用，包括企業(yè)工程、軟件工程、硬件工程、基建工程、人力資源工程、通信工程、測試工程、系統(tǒng)管理等； ? 與其它組織的相互作用 ，涉及開發(fā)者、產(chǎn)品供應商、集成商、采購者、安全評估組織、資質(zhì)評估認證組織、咨詢服務商等； ?SSECMM可應用于 所有類型和大小 的安全工程機構，如商務機構、政府機構和學術機構。 44 SSECMM歷史 ?1993年 4月美國國家安全局（ NSA）開始醞量 ?1996年 10月出版了 SSECMM模型的第一個版本， 1997年 4月出版了評定方法的第一個版本 。 ? 從 1996年 6月到 1997年 6月進行許多實驗項目 ?1999年 4月 出版了第二版。 ?2023年， ISO/IEC IS 21827 ? 目前， SSECMM ? 與其配套的評估方法， SSAM,《 系統(tǒng)安全工程能力成熟度模型評估方法 》 45 SSECMM的主要概念 ?過程（ Process） ? 就是可以做的事情 ? 為了達到某一給定目標而執(zhí)行的一系列活動，這些活動可以重復、遞歸和并發(fā)的執(zhí)行； ?過程可以分為三種： ? 充分定義的過程（ 待選擇的 ）：包括對每個活動輸入、輸出、執(zhí)行機制和所需資源的條件的定義 ? 已定義過程（ 已選擇的 ）：就是被組織進行了充分定義，在該組織的安全工程中要使用的過程 ? 執(zhí)行過程（ 已經(jīng)作了的 ）：系統(tǒng)安全工程實施人員實際執(zhí)行的過程 46 SSECMM的主要概念 ?過程區(qū)域（ PA， Process Area） ? 過程區(qū)域是過程的一種 單位 ? 是由一些基本實施（ BP， Base Practice）組成的，這些 BP共同實施以達到該 PA的目標。這些 BP是強制性的，只有全部成功執(zhí)行，才能滿足 PA規(guī)定的目標； ?SSECMM包含三類過程區(qū)域： 工程 、 項目 和 組織 三類； 47 SSECMM的主要概念 ?什么是過程能力（ Process Capability） ? 一個過程是否可以達到預期效果的度量方法，即執(zhí)行一個過程的 成熟度級別 劃分； ?過程能力的作用 ? 過程能力可幫助組織預見達到過程目標的能力，如果一個組織某個過程的能力級別低，意味著完成該過程投入的成本，實現(xiàn)的進度、功能和質(zhì)量都是不穩(wěn)定的；或者說過程能力越高則達到預定的成本、進度、功能和質(zhì)量目標的就越有把握 48 知識域： 安全工程能力成熟度模型 ? 知識子域： SSECMM體系與原理 ? 了解 SSECMM的適用范圍 ? 了解過程、過程區(qū)和過程能力的概念 ? 了解域維 /安全過程區(qū)與能力維 /公共特征的關系 ? 知識子域： 安全工程過程區(qū)域 ? 了解過程類、過程區(qū)和基本實施的關系 ? 理解風險過程、工程過程和保證過程的含義 ? 了解各個安全工程過程區(qū)的含義 ? 知識子域： 安全工程能力評價 ? 理解能力級別、公共特征和通用實施的關系 ? 理解各個信息安全工程能力級別的含義 49 SSECMM體系結構 能力維（Capability Dimension） 域維（ Domain Dimension） 公共特征 跟蹤執(zhí)行 PA 05 評估脆弱性 兩維模型： “域維” 由所有定義的安全工程過程區(qū)構成。 “能力維”代表組織實施這一過程的能力。 50 域維 過程類 域維 Base Practices Base Practices Base Practices Base Practices Base Practices 基本實施 Process Areas Process Areas Process Areas 過程區(qū) BP,Base Practice。域維的最小單位。如果選擇執(zhí)行其所屬的PA，則必須執(zhí)行它。共 129個 PA， Process Area由一些基本實施構成，這些 BP共同實施以達到該 PA的目標。共 22個 PA被分為安全工程類、組織管理類和項目管理類 51 能力維 能力維 能力級別 GP， Generic Practice 管理、度量和制度方面的活動，可用于決定所有活動的能力水平 CF， Common Feature由 GP組成的邏輯域 由公共特征組成的過程能力水平的級別劃分。 05共 6個級別 公共特征 通用實踐 52 SSECMM能力成熟度評價 ?通過設置這兩個相互依賴的維， SSECMM在各個能力級別上覆蓋了整個安全活動范圍。 ?給每個 PA賦予一個能力級別評分，所得到的兩維圖形便形象地反映一個工程組織整體上的系統(tǒng)安全工程能力成熟度，也間接的反映其工作結果的質(zhì)量及其安全上的可信度。 5 4 3 2 1 0 PA01 PA02 PA03 PA04 PA05 能力 級別 安全過程區(qū)域 53 域維 22個 PA分成三類 ?系統(tǒng)安全工程涉及到三類過程區(qū)域 PA ? 工程類過程區(qū)域（ Engineering PA） ? 組織類過程區(qū)域（ Organization PA） ? 項目類過程區(qū)域（ Project PA） ?工程類過程區(qū)域 11個 PA描述了系統(tǒng)安全工程中實施的與安全直接相關的活動 ?組織類和項目類過程區(qū)域（共 11個）并不直接同系