ISCCCQOT0440-软件安全开发服务资质认证审核记录表.docxVIP

软件安全开发服务资质认证审核记录表

组织名称

申请类别/级别

审核时间

受审核部门/人员

序号

要点

条款

需提供证明材料

审核结果

审核记录

符

合

不符

合

需观察

1.

服务技术要求

4.1.7/4.2.8/4.3.8a）建立软件安全开发服务流程。

按照相关标准建立软件安全开发服务流程，流程图中应包括每个阶段对应的职责、输入输出等。

2.

4.1.7/4.2.8/4.3.8b）制定软件安全开发服务规范并按照规范实施。

制定软件安全开发服务规范并按照规范实施。

3.

准备阶段

El.la）建立软件项目安全开发团队，明确各岗位、人员、职责。

查验项目人员管理文件，抽查项目，查验项目安全开发组织机构、人员配备、角色职责，是否明确安全管理人员及职责。

4.

El.lb）制定软件项目安全开发管理计划，明确开发过程管控措施。

抽查项目，查验安全开发计划，明确里程碑管理、进度、管控措施等，内容包括安全要素。

5.

El.lc）建立软件开发的配置管理计划，

抽查项目，查验配置管理计划，内容

序号

要点

条款

需提供证明材料

审核结果

审核记录

符

合

不符合

需观察

明确配置管理的安全要求。

包括但不限于CM人员构成、配置库结构、配置活动计划、等级、角色、权

限等。

6.

El.ld）建立变更控制制度，明确软件项目变更控制的安全要求。

查验变更控制制度，抽查项目，查验变更过程控制记录，内容应覆盖审核条款的要求，变更的记录单，记录单中的内容应包含变更申请，审批，执行，执行后的评价结果。

7.

El.le）制定软件项目安全培训计划,对相关人员进行安全培训。

查验培训管理制度，抽查项目，查验安全培训计划和记录。

8.

El.lf）建立独立的开发环境，确保开发环境与运行环境隔离。

查验软件开发规范，现场查看开发环境和运行环境。

9.

E2.1a）仅二级/一级要求：建立软件安全开发项目风险管理机制，对软件项目进行风险评估。

查验风险管理制度，抽查项目，查验风险分析报告，内容应覆盖审核条款的要求。

10.

E2.1b）仅二级/一级要求：使用配置管理工具对软件项目进行配置管理。

抽查项目，现场查验配置管理工具使用情况。

11.

E2.1c）仅二级/一级要求：配备专职的测试人员。

抽查项目，查验人员管理文件，内容应覆盖审核条款的要求。

12.

E2.1d）仅二级/一级要求：建立独立的测试环境，确保测试环境与开发环境隔

抽查项目，现场查看开发环境和测试环境。

序号

要点

条款

需提供证明材料

审核结果

审核记录

符

合

不符合

需观察

离。

13.

E3.1a）仅一级要求：建立软硬件设备和工具等资源安全使用规范。

查验资源安全使用规范；抽查项目，查验资源配备计划，内容应覆盖审核条款的要求。

14.

E3.1b）仅一级要求：配备安全管理人员。

查验安全管理专职人员的任命文件，抽查项目相关的安全监控记录。

15.

E3.1c）仅一级要求：建立变更控制委员会。

查验变更控制委员会成员构成与职责规定文件。

16.

需求阶段

EL2a）调研项目背景信息，收集项目需求，明确软件功能、性能及安全方面的要求。

查验需求阶段控制程序文件；抽查项目，查验需求阶段项目文档，内容应覆盖审核条款的要求。

需求阶段项目文档包括可行性报告、招标文件、需求分析报告等。

17.

E1.2b）结合软件项目需求、安全需求，与客户充分沟通，达成共识并形成记录。

抽查项目，查验与客户沟通的记录。

18.

19.

E2.2a）仅二级/一级要求：准确识别和综合分析软件项目在可用性、完整性、真实性、机密性、不可否认性、可控性和可靠性等方面的安全需求。

E2.2b）仅二级/一级要求：对于数据采集、产生、使用，明确识别安全保护要

抽查项目，查验需求分析报告，内容应覆盖审核条款的要求。

—

序号

要点

条款

需提供证明材料

审核结果

审核记录

符

合

不符合

需观察

求。

20.

E2.2c）仅二级/一级要求：基于客户需求，开展需求分析，编制具有软件安全需求的分析报告。

21.

E2.2d）仅二级/一级要求：需求分析报告中明确项目开发中使用的安全技术标

准、规范。

22.

E3.2a）仅一级要求：应基于软件安全威胁开展需求分析。

23.

E3.2b）仅一级要求：基于软件项目需求分析建立软件安全开发模型。

24.

设计阶段

EL3a）根据软件项目需求，编制软件设计说明书。

查验设计阶段控制程序文件；抽查项目，查验软件设计说明书，内容应覆盖审核条款的要求。

25.

E1.3b）软件设计说明书明确系统/子