【文章內(nèi)容簡(jiǎn)介】 0T L 9 0 0 0Bal d r ig eE IA 6 3 2E I A/ IS 632I E E E 1 2 2 0E IA / I S 731SEC AMSE CM MI P D CM M *I S O 1 5 9 3 9 *SA CM MF AA iCM M SSE CM MSW CM MP e o p le CM MPSPT S PCM M IM I L S T D 4 9 9 B*F A M * *I S O / I E C 2 1 8 2 7系列過(guò)程標(biāo)準(zhǔn)質(zhì)量標(biāo)準(zhǔn)成熟度或能力模型評(píng)估方法指南字體傾斜 ：過(guò)時(shí)有邊框：綜合替代基于使用 / 參考字體傾斜 ：過(guò)時(shí)有邊框：綜合參考P M Bo KE CS S E 1038 知識(shí)域： 安全工程能力成熟度模型 ? 知識(shí)子域： SSECMM體系與原理 ? 了解 SSECMM的適用范圍 ? 了解過(guò)程、過(guò)程區(qū)和過(guò)程能力的概念 ? 了解域維 /安全過(guò)程區(qū)與能力維 /公共特征的關(guān)系 ? 知識(shí)子域： 安全工程過(guò)程區(qū)域 ? 了解過(guò)程類、過(guò)程區(qū)和基本實(shí)施的關(guān)系 ? 理解風(fēng)險(xiǎn)過(guò)程、工程過(guò)程和保證過(guò)程的含義 ? 了解各個(gè)安全工程過(guò)程區(qū)的含義 ? 知識(shí)子域： 安全工程能力評(píng)價(jià) ? 理解能力級(jí)別、公共特征和通用實(shí)施的關(guān)系 ? 理解各個(gè)信息安全工程能力級(jí)別的含義 39 什么是系統(tǒng)安全工程 ?系統(tǒng)安全工程的主要目標(biāo)是： ? 獲得對(duì)企業(yè)安全風(fēng)險(xiǎn)的理解 ? 根據(jù)已識(shí)別的風(fēng)險(xiǎn)確定安全需求 ? 將安全需求轉(zhuǎn)換成指導(dǎo)系統(tǒng)開(kāi)發(fā)、集成和維護(hù)的指導(dǎo)原則 ? 通過(guò)正確有效的安全控制措施建立信息和保證 ? 判斷系統(tǒng)的殘留風(fēng)險(xiǎn)是否可以接受 40 不能將系統(tǒng)安全工程理解為專門(mén)針對(duì)安全作的一個(gè)項(xiàng)目，系統(tǒng)安全工程是系統(tǒng)建設(shè)活動(dòng)中有關(guān)加強(qiáng)系統(tǒng)安全性的活動(dòng)的集合，是系統(tǒng)獲取開(kāi)發(fā)活動(dòng)的子集 為什么要學(xué)習(xí)安全工程能力成熟度模型 ?SSECMM為信息安全工程過(guò)程改進(jìn)建立一個(gè)框架模型 ?通過(guò) SSECMM的學(xué)習(xí)了解 ? 信息安全工程中通常要實(shí)施的活動(dòng)有哪些，即信息安全工程中包括的過(guò)程有哪些 ? 評(píng)價(jià)和改進(jìn)這些過(guò)程的指標(biāo)是什么，即實(shí)施信息安全工程應(yīng)當(dāng)追求的過(guò)程能力 41 什么是 SSECMM ? 系統(tǒng)安全工程能力成熟模型（ Systems Security Engineering Capability Maturity Model） ? 描述了一個(gè) 組織 的 系統(tǒng)安全工程過(guò)程 必須包含的 基本特征 ? 這些特征是完善的安全工程 保證 ? 也是系統(tǒng)安全工程實(shí)施的 度量標(biāo)準(zhǔn) ? 同時(shí)還是一個(gè)易于理解的評(píng)估系統(tǒng)安全工程實(shí)施的 框架 42 SSECMM的作用 ?獲取組織 （系統(tǒng)、產(chǎn)品的采購(gòu)方） ? 幫助選擇合格的投標(biāo)者，以統(tǒng)一的標(biāo)準(zhǔn)對(duì)安全工程過(guò)程進(jìn)行監(jiān)管提高工程實(shí)施質(zhì)量，減少爭(zhēng)議 ?工程組織 （系統(tǒng)開(kāi)發(fā)和集成商） ? 通過(guò)可重復(fù)、可預(yù)測(cè)的過(guò)程減少返工、提高質(zhì)量、降低成本；改進(jìn)安全工程實(shí)施能力；獲得證明安全工程實(shí)施能力的資質(zhì) ?認(rèn)證評(píng)估組織 ? 獲得獨(dú)立于系統(tǒng)和產(chǎn)品的可重用的過(guò)程評(píng)估標(biāo)準(zhǔn)，用來(lái)確定被評(píng)估者將安全工程集成在系統(tǒng)工程之中，并且其系統(tǒng)安全工程是可信的 43 SSECMM覆蓋范圍 ?SSECMM涉及到可信產(chǎn)品或者系統(tǒng) 整個(gè)生命周期 的安全工程活動(dòng)，其中包括概念定義、需求分析、設(shè)計(jì)、開(kāi)發(fā)、集成、安裝、運(yùn)行、維護(hù)和終止。 ? 覆蓋整個(gè)組織的活動(dòng) ，包括管理、組織和工程活動(dòng)等，而不僅僅是系統(tǒng)安全的工程活動(dòng)； ? 它 不是孤立了工程 ，而是與其它工程并行且相互作用，包括企業(yè)工程、軟件工程、硬件工程、基建工程、人力資源工程、通信工程、測(cè)試工程、系統(tǒng)管理等； ? 與其它組織的相互作用 ，涉及開(kāi)發(fā)者、產(chǎn)品供應(yīng)商、集成商、采購(gòu)者、安全評(píng)估組織、資質(zhì)評(píng)估認(rèn)證組織、咨詢服務(wù)商等； ?SSECMM可應(yīng)用于 所有類型和大小 的安全工程機(jī)構(gòu)，如商務(wù)機(jī)構(gòu)、政府機(jī)構(gòu)和學(xué)術(shù)機(jī)構(gòu)。 44 SSECMM歷史 ?1993年 4月美國(guó)國(guó)家安全局（ NSA）開(kāi)始醞量 ?1996年 10月出版了 SSECMM模型的第一個(gè)版本， 1997年 4月出版了評(píng)定方法的第一個(gè)版本 。 ? 從 1996年 6月到 1997年 6月進(jìn)行許多實(shí)驗(yàn)項(xiàng)目 ?1999年 4月 出版了第二版。 ?2023年， ISO/IEC IS 21827 ? 目前， SSECMM ? 與其配套的評(píng)估方法， SSAM,《 系統(tǒng)安全工程能力成熟度模型評(píng)估方法 》 45 SSECMM的主要概念 ?過(guò)程（ Process） ? 就是可以做的事情 ? 為了達(dá)到某一給定目標(biāo)而執(zhí)行的一系列活動(dòng)，這些活動(dòng)可以重復(fù)、遞歸和并發(fā)的執(zhí)行； ?過(guò)程可以分為三種： ? 充分定義的過(guò)程（ 待選擇的 ）：包括對(duì)每個(gè)活動(dòng)輸入、輸出、執(zhí)行機(jī)制和所需資源的條件的定義 ? 已定義過(guò)程（ 已選擇的 ）：就是被組織進(jìn)行了充分定義，在該組織的安全工程中要使用的過(guò)程 ? 執(zhí)行過(guò)程（ 已經(jīng)作了的 ）：系統(tǒng)安全工程實(shí)施人員實(shí)際執(zhí)行的過(guò)程 46 SSECMM的主要概念 ?過(guò)程區(qū)域（ PA， Process Area） ? 過(guò)程區(qū)域是過(guò)程的一種 單位 ? 是由一些基本實(shí)施（ BP， Base Practice）組成的，這些 BP共同實(shí)施以達(dá)到該 PA的目標(biāo)。這些 BP是強(qiáng)制性的，只有全部成功執(zhí)行，才能滿足 PA規(guī)定的目標(biāo)； ?SSECMM包含三類過(guò)程區(qū)域： 工程 、 項(xiàng)目 和 組織 三類； 47 SSECMM的主要概念 ?什么是過(guò)程能力（ Process Capability） ? 一個(gè)過(guò)程是否可以達(dá)到預(yù)期效果的度量方法，即執(zhí)行一個(gè)過(guò)程的 成熟度級(jí)別 劃分； ?過(guò)程能力的作用 ? 過(guò)程能力可幫助組織預(yù)見(jiàn)達(dá)到過(guò)程目標(biāo)的能力，如果一個(gè)組織某個(gè)過(guò)程的能力級(jí)別低，意味著完成該過(guò)程投入的成本，實(shí)現(xiàn)的進(jìn)度、功能和質(zhì)量都是不穩(wěn)定的；或者說(shuō)過(guò)程能力越高則達(dá)到預(yù)定的成本、進(jìn)度、功能和質(zhì)量目標(biāo)的就越有把握 48 知識(shí)域： 安全工程能力成熟度模型 ? 知識(shí)子域： SSECMM體系與原理 ? 了解 SSECMM的適用范圍 ? 了解過(guò)程、過(guò)程區(qū)和過(guò)程能力的概念 ? 了解域維 /安全過(guò)程區(qū)與能力維 /公共特征的關(guān)系 ? 知識(shí)子域： 安全工程過(guò)程區(qū)域 ? 了解過(guò)程類、過(guò)程區(qū)和基本實(shí)施的關(guān)系 ? 理解風(fēng)險(xiǎn)過(guò)程、工程過(guò)程和保證過(guò)程的含義 ? 了解各個(gè)安全工程過(guò)程區(qū)的含義 ? 知識(shí)子域： 安全工程能力評(píng)價(jià) ? 理解能力級(jí)別、公共特征和通用實(shí)施的關(guān)系 ? 理解各個(gè)信息安全工程能力級(jí)別的含義 49 SSECMM體系結(jié)構(gòu) 能力維（Capability Dimension） 域維（ Domain Dimension） 公共特征 跟蹤執(zhí)行 PA 05 評(píng)估脆弱性 兩維模型： “域維” 由所有定義的安全工程過(guò)程區(qū)構(gòu)成。 “能力維”代表組織實(shí)施這一過(guò)程的能力。 50 域維 過(guò)程類 域維 Base Practices Base Practices Base Practices Base Practices Base Practices 基本實(shí)施 Process Areas Process Areas Process Areas 過(guò)程區(qū) BP,Base Practice。域維的最小單位。如果選擇執(zhí)行其所屬的PA，則必須執(zhí)行它。共 129個(gè) PA， Process Area由一些基本實(shí)施構(gòu)成，這些 BP共同實(shí)施以達(dá)到該 PA的目標(biāo)。共 22個(gè) PA被分為安全工程類、組織管理類和項(xiàng)目管理類 51 能力維 能力維 能力級(jí)別 GP， Generic Practice 管理、度量和制度方面的活動(dòng)，可用于決定所有活動(dòng)的能力水平 CF， Common Feature由 GP組成的邏輯域 由公共特征組成的過(guò)程能力水平的級(jí)別劃分。 05共 6個(gè)級(jí)別 公共特征 通用實(shí)踐 52 SSECMM能力成熟度評(píng)價(jià) ?通過(guò)設(shè)置這兩個(gè)相互依賴的維， SSECMM在各個(gè)能力級(jí)別上覆蓋了整個(gè)安全活動(dòng)范圍。 ?給每個(gè) PA賦予一個(gè)能力級(jí)別評(píng)分，所得到的兩維圖形便形象地反映一個(gè)工程組織整體上的系統(tǒng)安全工程能力成熟度，也間接的反映其工作結(jié)果的質(zhì)量及其安全上的可信度。 5 4 3 2 1 0 PA01 PA02 PA03 PA04 PA05 能力 級(jí)別 安全過(guò)程區(qū)域 53 域維 22個(gè) PA分成三類 ?系統(tǒng)安全工程涉及到三類過(guò)程區(qū)域 PA ? 工程類過(guò)程區(qū)域（ Engineering PA） ? 組織類過(guò)程區(qū)域（ Organization PA） ? 項(xiàng)目類過(guò)程區(qū)域（ Project PA） ?工程類過(guò)程區(qū)域 11個(gè) PA描述了系統(tǒng)安全工程中實(shí)施的與安全直接相關(guān)的活動(dòng) ?組織類和項(xiàng)目類過(guò)程區(qū)域（共 11個(gè)）并不直接同系