[发明专利]软件安全开发能力成熟度差距分析方法及系统

说明书

本发明公开了一种软件安全开发能力成熟度差距分析方法及系统，其中该方法包括如下步骤：基于软件行业的标准差距分析模型中的基本内容制作并保存调查问卷模板；启动调查问卷模板，生成安全调查问卷，并将安全实践调查问卷推送给用户；根据评判标准对用户反馈的安全实践调查问卷中的各项内容进行评判，以得到反映用户软件安全开发能力成熟度的调查数据；获取并存储若干个行业的相关行业数据；采取数据差异化比较方式显示调查数据和行业数据的差异化程度；采样上述差距分析方法对每一个用户的评估过程中，无须分析人员分项分类录入相关数据，自动化程度高，省时省力，从而有效提高工作效率和准确性。

技术领域

本发明涉及软件安全开发能力评估技术领域，尤其涉及一种软件安全开发能力成熟度差距分析方法及系统。

背景技术

信息技术的发展，使得软件规模越来越大，传统的“软件作坊”式生产往往依赖于人们急于创造财富的激动情绪，生产处于无序、混沌的一种状态，软件产品的质量不能保证，甚至中途撤消软件项目，这种生产方式已不能满足日益增长的软件需求。人们认识到，软件过程是否完善是软件风险大小的决定因素。目前，业内用软件安全开发能力成熟度（也叫软件保障成熟度）来描述一个企业的软件开发环境的优劣，并用企业的成熟度数据与行业的和标准的成熟度数据做比较，以得到某一企业的软件安全开发能力成熟度水平与行业和标准数据的差距。

在软件安全行业，一般用SAMM模型和BSIMM模型作为标准差距分析模型，这两个模型提供了一个开放的框架，用以帮助软件公司制定并实施所面临来自软件安全的特定风险的策略。原始的SAMM和BSIMM模型是以word文档的形式发布的，其文档内容主要是介绍SAMM和BSIMM模型的作用。普通用户需要使用SAMM模型和BSIMM模型进行能力评估时，需要对文档内容进行分析，提取需要完成的安全活动内容，并以一种可行的方式进行能力评估分析，也即SAMM模型和BSIMM模型提供了一定的差距分析方法，但是这些差距分析方法缺乏自动化机制，基于这些模型做差距分析时，需要手工完成大量的数据录入工作，尤其涉及到行业的横向和纵向差距分析时，需要手工完成大量的数据处理工作，费时费力，而且容易出现录入错误的情况。

发明内容

本发明其中一目是为解决上述技术问题的不足而提供一种自动化的软件安全开发能力成熟度差距分析方法，以提高软件安全开发能力成熟度差距分析的自动化程度，提高工作效率和准确性。

本发明另一目的是，提供一种自动化的软件安全开发能力成熟度差距分析系统，以提高软件安全开发能力成熟度差距分析的自动化程度，提高工作效率和准确性。

为了实现上述目的，本发明公开了一种软件安全开发能力成熟度差距分析方法，其包括如下步骤：

基于软件行业的标准差距分析模型中的基本内容制作并保存调查问卷模板，所述调查问卷模板可自动生成电子化的安全实践调查问卷和评判标准，所述安全实践调查问卷中包括若干待查安全实践项，每一所述安全实践项包括若干评价指标；

启动所述调查问卷模板，生成所述安全调查问卷，并将所述安全实践调查问卷推送给用户；

根据所述评判标准，对用户反馈的所述安全实践调查问卷中的各项内容进行评判，以得到反映用户软件安全开发能力成熟度的调查数据；

获取并存储若干个行业的相关行业数据，所述行业数据反映其所属行业现阶段综合软件安全开发能力成熟度；

采取数据差异化比较方式显示所述调查数据和所述行业数据的差异化程度。

较佳地，所述标准差距分析模型包括SAMM模型和/或BSIMM模型。

较佳地，将所述调查数据、所述行业数据和当前用户所选行业的标准数据显示在同一张蜘蛛图上。