TISC 0042-2024 软件安全开发能力评估技术规范.docxVIP

ICS35.080CCSLOO/09

团体标准

T/ISC0042—2024

软件安全开发能力评估技术规范

Technicalspecificationforevaluatingsoftwaresecuritydevelopmentcapability发布稿

2024年1月29日发布2024年2月28日实施

中国互联网协会发布

T/ISC0042—2024

I

目次

1范围 2

2规范性引用文件 2

3术语和定义 2

4缩略语 5

5安全开发体系评估模型 5

5.1成熟度模型架构 5

5.2安全能力维度 6

5.3能力成熟度等级维度 7

5.4安全开发过程维度 8

6安全需求 10

6.1PA01安全开发分类分级 10

6.2PA02威胁分析 12

6.3PA03安全需求管理 13

7安全设计 14

7.1PA04IT架构安全 14

7.2PA05安全设计管理 15

7.3PA06第三方组件安全管理 17

8安全编码 18

8.1PA07安全编码管理 18

9安全测试 20

9.1PA08代码审计 20

9.2PA09渗透测试 21

10安全部署/发布 23

10.1PA10安全配置管理 23

10.2PA11软件/应用自我防御加固 24

11安全运维 25

11.1PA12应急响应 25

11.2PA13安全持续保障 27

12基础安全 28

12.1PA14安全培训 28

12.2PA15组织和人员管理 30

12.3PA16合规管理 32

12.4PA17开发测试环境安全管理 34

12.5PA18软件资产管理 35

II

附录A 37

附录B 38

B.1能力成熟度等级评估流程 38

B.2能力成熟度模型使用方法 39

参考文献 41

T/ISC0042—2024

1

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规

则》的规定起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。本标准由中国互联网协会归口。

本文件起草单位：中国信息通信研究院、北京国舜科技股份有限公司、北京风行网安科技有限公司、深圳开源互联网安全技术有限公司、扬州数安技术有限公司、中国石油昆仑数智科技有限责任公司、中国民航信息网络股份有限公司、中邮信息科技(北京)有限公司、中国经济信息社、中国移动通信集团设计院有限公司、中国电力科学研究院有限公司、中建数字科技有限公司、北京航天绘景、OpenSDV汽车软件开源联盟、杭州默安科技有限公司、北京智精灵科技有限公司、北京德安信华科技有限公司、四川赛闯检测股份有限公司、成都信息工程大学、北京龙盾数据有限公司、网宿科技股份有限公司、北京微步在线科技有限公司、阿里巴巴集团、仁寿智仁智慧科技有限公司、四川仁恒智合科技有限公司、江苏大道云隐科技有限公司。

本文件主要起草人：蒋阿芳、马英轩、樊可欣、汤志刚、于伟杰、郭治文、张志强、王颉、张磊、王晓龙、滕征岑、张嵩、孙忠伟、杨京煜、王宇、翟冬梅、马德斌、陈长胜、马丽娜、吴新丽、王勇、王一村、肖秀琴、冯明杨、张玉雪、缪思薇、周亮、左海峰、段柯欣、贾大伟、张文君、申小旦、马永炼、滕召智、梁尧、李力宏、张坤、王晓宇、郝旭、方建康、周琼、冯丽、袁丽、马欣、秦元、黄莎琳、吕士表、杨志伟、童兆丰、娄珽、吴孟晴、党杜均、邓恒、黄圣超。