NIST SP 800-218 SSDF安全软件开发框架.xlsx

类别 实践 任务 实施示例 组织准备就绪（PO） 定义软件开发的安全需求（PO.1） PO.1.1 确定并记录组织软件开发基础设施和过程的所有安全要求，并随时间保持这些要求 示例1：定义在整个SDLC中保护软件开发基础设施及其组件（包括开发端点）并维护该安全性的策略 示例2：定义在整个SDLC中保护软件开发过程并维护该安全性的策略，包括开发中的软件使用的开源和其他第三方软件组件 示例3：至少每年审查和更新一次安全需求，如果有来自内部或外部来源的新需求，或者发生了针对软件开发基础设施的重大安全事件，则审查和更新安全需求的时间更短 示例4：就需求即将发生的变化对受影响的个人进行教育 PO.1.2 确定并记录组织开发的软件的所有安全需求，以满足这些需求，并随着时间的推移维护这些需求 示例1：定义指定基于风险的软件体系结构和设计需求的策略，例如使代码模块化以促进代码重用和更新；在执行期间将安全组件与其他组件隔离；避免未记录的命令和设置；以及提供有助于软件采购方安全部署、操作和维护软件的功能 示例2：定义规定组织软件安全要求的策略，并在SDLC的关键点验证合规性（例如，通过卡点验证的软件缺陷类别，对已发布软件中发现的漏洞的响应） 示例3：分析适用技术栈的风险（例如，语言、环境、部署模型），并建议或要求使用相对能够降低风险的技术栈 示例4：定义策略，根据SDLC模型、软件生命周期结束和其他因素，指定每个软件版本需要归档的内容（例如，代码、包文件、第三方库、文档、数据清单），以及需要保留多长时间 示例5：确保策略覆盖整个软件生命周期，包括通知用户即将结束软件支持和软件结束日期 示例6：至少每年审查一次所有安全需求，如果有来自内部或外部来源的新需求，在发布的软件中发现重大漏洞，或者发生了针对组织开发的软件的重大安全事件，则应尽早审查 示例7：建立并遵循处理需求异常请求的流程，包括对所有批准的异常进行定期审查 PO.1.3向所有第三方传达需求，这些第三方将向组织提供商业软件组件，以供组织自己的软件重用 示例1：定义软件组件的一组核心安全需求，并将其包含在采购文件、软件合同和与第三方签订的其他协议中 示例2：定义选择软件的安全相关标准；标准可以包括第三方的漏洞披露计划和产品安全事件响应能力，或者第三方遵守组织规定的做法 示例3：要求第三方证明其软件符合组织的安全要求 示例4：要求第三方为其软件的所有组件提供出处数据和完整性验证机制 示例5：当第三方软件组件不满足安全要求时，建立并遵循处理风险的流程；这应包括定期审查所有批准的要求例外情况 落实角色和责任（PO.2） PO.2.1 根据需要创建新角色并改变现有角色的职责，以涵盖SDLC的所有部分定期审查和维护定义的角色和职责，并根据需要进行更新 示例1：为软件开发团队的所有成员定义与SDLC相关的角色和职责 示例2：将安全角色集成到软件开发团队中 示例3：定义网络安全人员、安全倡导者、项目经理和领导、高级管理人员、软件开发人员、软件测试人员、软件保障领导和员工、产品所有者、运营和平台工程师以及SDLC中涉及的其他人的角色和职责 示例4：对所有角色和职责进行年度审查 示例5：就角色和职责即将发生的变化对受影响的个人进行教育，并确认这些个人理解这些变化并同意遵守这些变化 示例6：实施并使用工具和流程，促进具有SDLC相关角色和职责的个人之间的沟通和参与，例如为团队讨论创建消息传递渠道 示例7：指定一组个人或团队作为每个项目的代码所有者 PO.2.2为所有有助于安全开发的人员提供基于角色的培训定期审查人员熟练程度和基于角色的培训，并根据需要更新培训 示例1：记录每个角色培训的预期结果 示例2：定义实现每个角色预期结果所需的培训或课程类型 示例3：为每个角色制定培训计划 示例4：为每个角色获取或创建培训；获得的培训可能需要为组织定制 示例5：衡量结果绩效，以确定培训变化可能有益的领域 PO.2.3 获得高层管理层或授权官方承诺以确保开发，并将该承诺传达给所有与开发相关的角色和职责 示例1：指定一名领导或领导团队负责整个安全软件开发过程，包括负责将软件发布到生产环境中，并在适当的情况下委派责任 示例2：提高授权人员对在整个开发生命周期中不集成安全性的情况下开发软件的风险的认识，以及安全开发实践提供的风险缓解 示例3：协助上级管理层将安全开发支持纳入其与具有开发相关角色和职责的人员的沟通中 示例4：教育所有具有开发相关角色和责任的人员，让他们了解高层管理层对安全发展的承诺，以及安全开发对组织的重要性 建立支撑工具链（PO.3） PO.3.