S-SDLC CMM 1 S-SDLC CMM 软件安全 开发能 力成熟度模型 S-SDLC CMM 2 文档修订记录 版本 变化状态 修订说明 日期 变更人 备注 V1.0 N 新建文档 2022- 12-30 S-SDLC CMM V2.2 M 修订 2023- 03-06 S-SDLC CMM V2.3 M 修订 2023- 03-22 S-SDLC CMM V2.0 M 新增 DevSecOps 平台能力 2023- 03-06 S-SDLC CMM S-SDLC CMM 3 目 录 Contents 文档修订记录 ...................................................................................................................................................... 2 CONTENTS ........................................................................................................................................................... 3 1. 背景 ................................................................................................................................................................ 7 2. 模型概述 ......................................................................................................................................................... 7 2.1. 什么是S -SDLC CMM ............................................................................................................................... 7 2.2. S-SDLC CMM术语表 ............................................................................................................................... 7 2.3. S-SDLC CMM结构 ................................................................................................................................... 7 2.4. S-SDLC CMM评估域概述 ........................................................................................................................ 8 2.5. S-SDLC CMM成熟度级别 ...................................................................................................................... 12 3. 安全开发实践 ................................................................................................................................................ 14 3.1. 监管..................................................................................................................................................... 14 3.1.1. 流程与政策 ................................................................................................................................................... 14 3.1.2. 合规性 ........................................................................................................................................................... 14 3.1.3. 培训 ............................................................................................................................................................... 15 3.1.4. 软件供应链安全管理 ................................................................................................................................... 16 3.2. 能力..................................................................................................................................................... 16 3.2.1. 攻击模型 ....................................................................................................................................................... 16 3.2.2. 安全设计方案与安全开发组件 ................................................................................................................... 17 3.2.3. 第三方组件库管理 ....................................................................................................................................... 17 3.2.4. 标准与要求 ................................................................................................................................................... 18 3.2.5. 敏感数据处理 ............................................................................................................................................... 20 3.3. 触点..................................................................................................................................................... 20 3.3.1. 安全需求分析 ........................................................