国家综合交通运输信息平台软件供应链安全评估内容、评估范围与目标确认表、开源组件及源代码调研表、评估报告-500积分.pdfVIP

JT/TXXXX—XXXX

A

A

附录A

（规范性）

评估内容

A.1供应商安全

供应商安全应符合表A.1的规定。

表A.1供应商安全

序号评估项评估子项评估要点与判定

是否明确软件供应链安全管理机构或人员及其职责范围；

是否提供保障软件供应链安全所需的资源（包括但不限于

1职责范围

有关资金、场地、人力）；所需的资源是否在预算管理过程

中予以重点考虑。

机构管理是否组织构建并管理软件供应链安全图谱；是否定期开展

构建并管理软件供应链

2软件供应链安全评估（包括但不限于软件成分分析、源代码

安全图谱

检测等）。

是否制定、修订、贯穿、执行各项软件供应链安全管理制度、

3软件供应链安全制度

流程以及机制。

是否确定软件供应链安全的总体方针、安全制度和策略（包

软件供应链安全总体方

4括但不限于软件资产管理、软件供应链安全风险识别、处

针

置、监督检查）。

是否制定软件供应链安全风险的持续监测、风险评估和事

软件供应链安全风险预件响应制度；是否明确不同等级安全事件的报告、处置、响

5

警应的流程和机制,规定安全事件的现场处理、事件报告和后

期恢复等要求。

是否制定软件开发、交付、运维、废止等供应活动的安全管