信息安全管理 第11讲 风险评估实践-SSE-CMM

第11讲风险评估实践－SSE-CMM第第1111讲讲风险评估实践风险评估实践－－SSESSE--CMMCMMCMM简介SSE-CMM简介SSE-CMM体系SSE-CMM实施1CMM简介•1.1概述•1.2过程改进•1.3期望结果•1.4常见误解•1.5关键概念•1.6CMM等级1.1概述•CMM(CapabilityMaturityModel,能力成熟模型)的出现是为了克服软件生产的危机。没有完善的软件生产过程体系，软件开发的成败只能依靠人为主观或偶然因素。因此，对成功的软件过程的重复使用，对以经验教训的分析总结，对全部开发案例的系统编档就成了一套完整而成熟的软件过程，需要一个从无序到有序，从人为到客观的标准，从定性到定量的不断积累与完善的过程。这一过程的演变中企业会面临一系列有代表意义的成熟阶段。•软件开发企业可以根据CMM的框架对项目管理和项目工程进行定量控制和能力评估，而软件应用单位也可根据CMM来衡量和测试项目承接方的实际软件生产能力。•不成熟的标志有：–没有明确的软件过程体系可以依据；–无法对生产进行预测；–不严格执行生产过程；–质量无法保证；–无健全的过程控制及质量控制体系；–项目开发没有准则可遵循；–开发结果主要依据项目小组及个人的带有主观因素的能力发挥。•成熟的标志有：–项目开发是依据企业早已明确的过程准则来实施；–开发结果较少依赖个人能力和自然因素；–项目有过程控制并可对整个生产作出预测；–产品质量得到有效监控（借助客观定量化的数据）；–过去的开发项目中所获经验得以积累并系统地用于现行和未来的项目中。1.2过程改进•过程–过程是为了一个指定的目标而执行的一个步骤序列。–由于认识到过程是产品成本、进度和质量的决定性因素之一，因此各种各样的工程组织开始关注改进其产品的生产过程。–过程能力涉及到一个组织的潜在能力，它是一个组织能达到的能力范围。–过程性能是项目实际结果的测量。•过程成熟性–表述一个特定过程被清晰定义、管理、测量、控制的程度及有效性。–过程成熟性意味着能力增长的潜在可能性，并表明组织过程的丰富及过程在组织内部的一致应用。1.3期望结果•改进可预见性：随着组织的成熟，第一个可期待的改进是可预见性。随着能力的提高，项目目标与实际结果之间的差异将会减少。•改进可控制性：随着过程能力的提高，增加的结果将被用于建立更准确的修订目标。对不同的修正活动的评估可基于当前过程经验和其他项目过程结果，以便选择更好的控制测量应用。•改进过程有效性：目标结果随着组织成熟性的提高而改进，产品开发成本降低，开发时间缩短，生产率和质量提高。1.4常见误解•1.“CMM定义了工程过程”–一个通常的错误概念是CMM只定义了一个特殊的过程。而实际上CMM对组织机构而言是一个如何定义过程，如何随着时间不断改进所定义的过程的指南。–对于过程定义、过程管理监控以及组织机构的过程改进，CMM给出了什么活动是必须执行的，而不是精确指定这些特定的活动应如何执行。•2.“CMM是手册或培训指南”–CMM的目的在于为组织机构改进他们所执行的特定过程能力提供一个指南，而不是用来帮助个人改进他们特定的工程技巧的手册或者培训指南。–CMM的目标是通过采纳CMM中描述的思想和使用CMM中定义的技术指南，来达到组织机构对工程过程的定义和改进。•3.“SEE-CMM是产品评价的替代”–CMM不能用于产品评估或系统认证。–为了能使得SSE-CMM起到评价与认证的作用，安全工程界需要就安全工程中成熟性的含义达成共识。•4.“需要太多的文档”–CMM模型包括要求对过程和步骤的文件化，并要求保证执行文件化的过程和步骤。–CMM并没有明确要求文档的数量或文档类型。它仅仅指明了必须文件化的信息类型。1.5关键概念•1.组织：–组织被定义为公司内部的单位、整个公司或其他实体（如政府机关或服务分支机构）。–在组织中存在许多项目并作为一个整体加以管理。组织内的所有项目一般遵循上层管理的公共策略。–一个组织机构可能由同一地方分布的或地理上分布的项目与支持基础设施所组成。•2.项目：–项目是各种实施活动和资源的总和，这些实施活动和资源用于开发或维护一个特定的产品或提供一种服务。产品可能包括硬件、软件及其他部件。–一个项目往往有自己的资金、成本帐目和交付时间表。–为了生产产品或提供其他服务，一个项目可以组成自己专门的组织，或是由组织建立项目、特别工作组或其他实体。–SSE-CMM的项目是针对一个特定的产品，而组织结构则拥有一个或多个项目。•3.系统：–在SSE-CMM中,系统是指:•提供某种能力用以满足一种需要或目标的人员、产品、服务和过程的综合。•事物或部件的汇集形成了一个复杂或单一的整体。•功能相关的元素相互组合。–系统可以是一个硬件产品、硬软件组合产品、软件产品或是一种服务。在整个模型中，“系统”是指需要提交给顾客或用户的产品的总和。•4.工作产品：–工作产品是指在任何过程中产生出的所有文档、报告、文件和数据等。–SSE-CMM不为每一个过程域列出各自的工作产品，而是按照特定的基本实施列出“典型的工作产品”，其目的在于对所需的基本实施范围做进一步定义。列举的工作产品只是说明性的，目的在于反映组织机构和产品的范围。•5.顾客：–顾客是需要第三方为其提供产品开发或服务的个人或实体组织，顾客也包括使用产品和服务的个人和实体组织。–SSE-CMM涉及的顾客可以是经商议的或未经商议的。经商议的是指依据合同来开发基于顾客规格的一个或一组特定产品；未经商议的是指市场驱动的，即市场的真正或潜在需求。•6.过程：–一个过程是指为了一个特定的目的而执行的一系列任务，这些活动可以重复、递归和并发执行。一个充分定义的过程包括活动定义、每个活动的输入输出定义以及控制活动执行的机制。–在SSE-CMM涉及到的过程中，包括“定义”和“执行”过程。定义过程是为了组织或由组织为它的安全工程师使用而正式描述的过程。执行过程是安全工程师实际实施的过程。•7.过程域:–一个过程域（ProcessArea，PA）是一组相关安全工程过程的特征，当这些特征全部实施后，将能够达到过程域定义的目的。–一个过程域由基本实施（BasePractices,BP）组成。这些基本实施是安全工程过程中必须存在的特征，只有当这些特征完全实现后，才能满足这个过程域的要求。•8.过程能力：–过程能力是指遵循一个过程而达到的可量化范围。–SSE-CMM的能力维为域维中安全工程能力的改进提供了指南。–一个组织的过程能力可帮助预见项目目标的可能结果。•9.制度化：–制度化是建立方法、实施和步骤的基础设施和组织，即使昀初定义的人已离开，制度化仍会存在。–制度化提供了通过完善的安全工程性质获得昀大益处的途径。•10.过程管理：–过程管理是一系列用于预见、评估和控制过程执行的活动和基础设施。–过程管理意味着过程已经定义好。–注重过程管理意味着项目或组织需要在计划、执行、评价、监控和校正活动中既要考虑产品相关因素，也要考虑过程相关因素。•11.能力成熟模型–CMM模型通过确定当前特定过程的能力和在一个特定域中识别出昀关键的质量和过程改进问题，来指导选择过程改进策略。–CMM也可用来评定已定义的过程的存在性和制度化。–CMM覆盖了所有用以执行特定域任务的过程。也可以覆盖确保有效开发和人力资源使用的过程，以及产品及工具引入适当的技术来加以生产的过程。1.6CMM等级•CMM为企业软件能力提供了一个阶段式的五级进程。–第一级：初始级（InitialLevel），整个企业的软件审查案是不可重复，不可预见，不成体系，不可积累和不稳定的。–第二级：可重复级（RepeatableLevel），一个展开的过程是一个可重复的过程并能逐渐改进和标准化。–第三级：已定义级（DefinedLevel），软件过程已被编制为标准化过程，并在企业内部范围内执行，从而使软件生产和管理更具规范性，可控制稳定性和持续性。–第四级：已管理级（ManagedLevel），所有项目和产品的质量都有明确的定量化衡量指标，生产过程定量化，可预测化和高质量。–第五级：优化级（OptimizingLevel）新技术的采用和过程的不断改进被作为企业的常规工作，以实现优质高产的目标。2SSE-CMM简介•2.1SSE-CMM发展•2.2SSE-CMM背景•2.3SSE-CMM概念•2.4SSE-CMM意义•2.5SSE-CMM应用2.1SSE-CMM发展•SSE-CMM由美国国家安全局提出，在美国国家安全局、美国国防部、加拿大通信安全局的号召和推动下，汇集了60多个厂家，集中了大量的人力、物力和财力进行了开发实施。其发展过程如下；–1993年美国国家安全局(NSA)提出SSE-CMM的构想。–1995年1月，第一届公开安全工程CMM工作讨论会，成立项目工作组。–1995年3月，项目工作组通过SSE-CMM指导组织、创作组织和应用工作组织的工作，完成了模型和认定方法工作。–1996年10月出版SSE-CMM的第一个版本。–1997年4月出版了SSE-CMM的第二个版本。–2003年7月出版了SSE-CMM的第三个版本。2.2SSE-CMM开发背景•安全工程领域内缺少一个易于理解的评估安全工程实施的框架。SSE-CMM正是这样一个框架，它为安全工程原则的应用提供了一个衡量和改进的途径。•安全工程是一个独特的科目，需要独特的知识、技能和过程来创建一个专用于安全工程的CMM。•SSE-CMM项目的目标是促进安全工程成为一个确定的、成熟的和可度量的过程。SSE-CMM的开发将带来以下益处：–通过区分投标者的能力级别和相关的风险来选择合格的安全工程提供商。–工程组把投资集中在安全工程工具、培训、过程定义、管理实施和改进上。–基于能力的保证，即，信赖是基于对工程组织安全工程实践和过程成熟的信心。2.3SSE-CMM概念•SSE-CMM（SystemSecurityEngineering-CapabilityMaturityModel）即系统安全工程－能力成熟模型，它描述了一个组织的安全工程过程必须包含的本质特征，这些特征是完善的安全工程的保证。•SSE-CMM的提出是为了改善安全系统、产品和服务的性能、价格及可用性，从而满足用户对安全工程不断增长的需求。•SSE-CMM描述了一个良好安全工程必须具备的特点，它主要涵盖以下内容：–整个生命周期，包含开发、运行、维护以及更新活动；–整个组织的各个层次，包含管理、组织以及工程活动；–与其他领域的并发交互处理，比如系统、软硬件、人力因素以及测试工作；–系统的管理、操作及维护等活动；–与其他组织间的相互影响，包括系统管理、认证、验收以及评价各环节。2.4SSE-CMM的意义•SSE-CMM对工程组织（包括系统集成商、应用开发商、产品厂商和服务供应商）的益处：–通过可重复和可预测的过程和实施来减少返工；–获得工程执行能力的认可，特别是资源选择方面；–侧重于可度量组织的资格（成熟度）和改进。•SSE-CMM对获取组织（包括从内部／外部获取系统、产品和服务的组织以及昀终用户）的益处：–可重用的标准和评定方法；–减少了选择不合适投标者的风险；–进行基于工业标准的统一评估，减少了争议；–在产品生产或提供服务过程中建立可预测和可重复级的可信度。•SSE-CMM对评估机构（包括系统认证组织、授权组织和产品评估组织）的益处：–可重用的过程评定结果与系统或产品变化无关；–在安全工程中和安全工程与其他工程集成中的信任度；–基于能力的显见可信度，减少了安全评估工作量。2.5SSE-CMM的应用•SSE-CMM应用范围–SSE-CMM涉及到可信产品或者整个系统生命周期的安全工程活动，其中包括概念定义、需求分析、设计、开发、集成、安装、运行、维护和终止。–SSE-CMM应用于安全产品开发者、安全系统开发者、集成商和提供安全服务和安全工程的组织机构。–SSE-CMM可应用于所有类型和规模的安全工程，如商务机构、政府机构和学术机构的安全工程。•SSE-CMM的使用方式–作为工程组织的工具，用于评价安全