1、GB/T20261-2020C】总则6C2能力等级1一其本执行61C.3能力等级2计划跟踪62C,4能力等级3一充分定义67C.5能力等级4量化控制71C6能力等级5一特续改进73附录D(规范性附录)项目与组织基本实践76D1综述76D.2一般安全注意事J项76D.3PA12一确保质量76D,4PA13一管理配置81D.5PA14管理项目风险84D.6PA15一监督和控制技术工作88D.7PA16策划技术工作90D.8PA17一定义组织系统工程过程96D.9PA18一改进组织系统工程过程99D.10PA19一管理产品线演化101D.11PA20一管理系统工程支持环境104D.12PA21一提供
2、持续发展的技能和知识107D,13PA22一与供方协周112附录E(资料性附录)能力成熟度模型概念116E.1概述116E2过程改进116E.3预期结果117E4常见误解117E5关键概念，118附录F(资料性附录)信息安全服务与安全工程过程域对应表122附录G(资料性附录)GB/T20261一XXXX与GB/T20261一2006主要变化对比表123参考义献127GB/T20261-2020引言本标淮依据国际标准最新版本(ISO/IEC2182?:2008),结合国内最优实践，从系统安全工程的科学性和可指导性出发进行修订，对标准术语、安全工程过程域及能力维进行更新和优化。0.1概要在计算机程
3、序开发中一无论是操作系统软件、安全管理和执行功能、软件、应用程序中间件一各种各样的组织都在实我安全工程。因此，产品开发者、服务提供者、系统集成者、系统管理者，甚至是安全专家都要求有合适的方法和实践。部分组织关注高层次间题（例如涉及运行使用或系统体系结构)，另一部分组织则涉及低层次问题（例如，机构选择或者设计），还有些组织两者都涉及。许多组织可能专门研究某种特定类型的技术，或者某个专业范畴（例如，航海）。SSE-CMM，是针对所有此类组织而设计的。使用SSE-CMM并不意味着一个组织就比另一个组织更关注安全，也不意味着任何SSEC使用方法是必需的。组织的业务核心也不会因为使用SSE-CMM而发生
4、偏离。根据组织的业务核心，使用某些（而不是全部）已定义的安全工程实践。除此之外，组织可能需要考虑模型范围内不同实践之间的关系，以确定它们的可用性。下面的例子说明了各种不同的组织可以把SSE-CMI用于软件、系统，设备开发和运行。本标准与过程评估系列标准(1S0/IEC330XX系列)，特别是ISO/IEC33020有关，因为它们都涉及过程改进和能力成熟度评估。但是，过程评估系列标准适用于所有过程，而SSE-CMM则专注于安全性。1)安全服务提供者为了测量一个组织执行风险评估的过程能力，要使用几组不同的实践。在系统开发或集成期间，可能需要评估该组织在确定和分析安全脆弱性以及评估运行影响方面的能力
5、。在系统运行期间下，可能需要评估该组织在监视系统安全态势、识别和分析安全脆弱性以及评估运行影响方面的能力。2)对策开发者在一个组专注对策开发的情况下，可能要通过SSE-CMM的实践组合来描述组织的过程能力特性。该模型包含若干提出确定和分析安全脆弱性、评估运行影响以及向涉及的其他组（例如软件组）提供输入和指南的实践。提供制定对策服务的组需要理解这些实践之间的关系。3)产品开发者SSE-CMM包含部分专门针对理解客户安全需要的实践。要求与客户反复商讨，以便确定这些需要。如果某个产品的开发不受特定客户的约束，该产品的客户就是通用客户。在这种情况下，如果要求考虑客户，可以把产品营销组或其他组作为假想的客户。安全工程专业人员都理解，产品背景和产品开发方法随产品本身的变化而变化。不过，已经知道有一些与产品和项目背景有关的问题对产品的构思、生产、交付和维护方法有影响。下列问题对SSECMM特别有意义：客户基本类型（产品、系统和服务）：1)CM和Capability Maturity Model均是美国卡内基梅隆大学(CMU)的服务商标，受相关法律和法规的保护，