|
|
|
|
|
|
來源： 發布日期：2018.12.29 點擊量：
一、軟件安全開發度量指標的定義與作用
（一）什么是軟件安全開發度量指標
銀監會在發布的《商業銀行操作風險管理指引》中，將度量指標定義為“代表某一風險領域變化情況并可定期監控的統計指標”。軟件安全開發度量指標可用于監測系統開發過程中以及系統上線后發現的各項風險及控制措施，并作為反映風險變化情況的早期預警指標，開發團隊以及安全團隊可根據預警信息及早采取措施，提升開發安全質量，防范應用及系統安全風險。
（二）軟件安全開發度量指標的作用
安言咨詢建立完善的軟件安全開發度量指標可以為全面風險管理實施提供切實的支持，并可以在如下三方面實現顯著提升。
1.提高風險監控的及時性
軟件安全開發度量指標的首要用途是可以幫助客戶方內部在不需要進行復雜的模型運算的前提下，就可以及時了解風險暴露的變化狀況。顯然對于軟件安全開發度量指標的監測頻率可以遠遠高于計算經濟資本的頻率。這種及時性可以顯著提升客戶方內部對于風險趨勢的把握能力。
2.提高經營決策的前瞻性
對于軟件安全開發度量指標的持續監測和分析，安言咨詢可以幫助客戶方內部有效把握各類安全開發風險發展的態勢，從而真正實現風險管理從事中到事前的轉變。例如：通過對于軟件安全開發度量指標的變化趨勢進行分析和預測，可以更為有效地幫助客戶方內部管理層及時掌握客戶方內部安全開發風險狀況，并及時采取風險應對措施。
3.提升風險視圖的宏觀性
軟件安全開發度量指標立足于全局，對軟件安全開發進行整體評價。風險評估只能從資產及流程角度出發對資產安全及風險情況進行評價，安全檢查則只能對制度執行情況進行評價。軟件安全開發度量指標從整體角度出發，從需求評審、設計評審、項目組開發、驗收測試、專項安全測試等方面出發對客戶方內部軟件安全開發風險進行整體評價。
二、設計依據
(一) SDL安全開發生命周期
安全開發生命周期（SDL）是一個幫助開發人員構建更安全的軟件和解決安全合規要求的同時降低開發成本的軟件開發過程。 安全應用從安全設計開始，軟件的安全問題很大一部分是由于不安全的設計而引入的，微軟用多年的經驗總結出了安全開發生命周期（SDL），并提出了攻擊面最小化、STRIDE威脅建模等多種方法輔助安全人員對軟件進行安全設計。
(二) ISO/IEC27001:2013 信息安全管理體系要求
基于《ISO/IEC27001:2005 信息安全管理體系要求》形成。該標準基于風險管理的思想，規定了一個組織建立、實施、運行、監視、評審、保持、改進信息安全管理體系的要求，是建立信息安全管理體系（ISMS）的重要依據。該標準使用了和ISO9001相同的管理體系過程模型（PDCA模型），是用于認證和審核的標準，與ISO/IEC 27002共同使用。
(三) CMMI能力成熟度模型集成
Capability Maturity Model Integration，即能力成熟度模型集成 ，1994年由美國國防部（United States Department of Defense）與卡內基-梅隆大學（Carnegie-Mellon University）下的軟件工程研究中心（Software Engineering Institute，SEISM）以及美國國防工業協會（National Defense Industrial Association）共同開發和研制的，他們計劃把現在所有現存實施的與即將被發展出來的各種能力成熟度模型，集成到一個框架中去，申請此認證的前提條件是該企業具有有效的軟件企業認定證書。
三、實現過程
采用安言咨詢歷經十多年咨詢服務經驗提煉而成的PROC方法論，從調研開始，深入了解客戶軟件開發安全現狀，收集信息開展整體架構及指標框架設計，在客戶確認整體框架后，開展指標設計和工具制造，同步編寫工作規范，通過試點驗證不斷完成整套的軟件安全開發度量指標體系，并最終持續運行。
安言咨詢設計整體框架時，參考SDL標準，關注軟件開發從需求分析直至系統持續運行的各個階段，從缺陷信息、運行反饋、項目組統計信息等多方面入手開展度量。除傳統的SDL模式外，也可根據用戶方需求，針對敏捷開發模式進行定制化度量指標體系設計，確保軟件開發安全度量指標體系適應各行業各類型用戶，幫助用戶有效防范軟件安全開發風險，將風險消滅于系統上線之前。
相關客戶案例：