软件安全开发能力评估过程域工作产品示例、流程与评估活动、软件供应链安全的过程视图.pdfVIP

GB/TXXXXX—XXXX

附录A

（资料性）

过程域工作产品示例

工作产品是执行软件安全开发过程中产生的所有记录、报告、数据、制品等，每个过程域包含了若

干基本实践，组织通过执行基本实践输出工作产品。表A.1提供了一组工作产品示例，其中，过程域的

工作产品证实了组织的基本实践被执行，且符合规定的标准和要求，但并不代表组织达到了更高级别的

能力。工作产品通常在刚开始出现的过程域中进行初始化，并列入表格。

表A.1过程域工作产品示例

过程过程域工作产品示例

安全需求规格说明书

安全需求跟踪矩阵

PA01-建立安全需求基线

合规性安全需求分析指南

安全基线库

安全需求挖掘过程

业务安全需求补充

典型安全问题及防御方法分析

PA02-补充安全需求

安全需求分类及标识应用指导书

安全需求规划及安全竞争力分析

安全设计说明书

威胁建模设计说明书

安全架构和技术总体设计指导书

PA03-设计安全架构

架构安全选型分析

通用安全方案库

公共安全组件

第三方组件安全测试记录

第三方组件管理规范

PA04-管控开源及第三方组件

第三方组件选型指导

软件物料清单SBOM

安全编码要求描述

安全技术实现过程

通用安全编码规范

PA05-规范安全编码语言类安全编码规范

安全编译要求描述

编译管理规范

代码安全扫描记录