[发明专利]一种软件开发全生命周期安全管理成效评估方法和系统

说明书

本发明涉及一种软件开发全生命周期安全管理成效评估方法和系统，其特征在于包括以下步骤：1）对不同阶段中软件开发全生命周期安全管理相关系统中的开发安全管理数据进行采集；2）基于采集的开发安全管理数据以及预先构建的评价指标体系，计算得到软件开发全生命周期安全管理的各项评价指标值，进而得到开发安全排行榜类指标；3）基于采集的开发安全管理数据计算综合类评估指标，用于对软件开发全生命周期安全管理系统整体安全情况进行评估；4）基于步骤2）和步骤3）得到的评估结果，对软件开发全生命周期安全管理成效进行评估。本发明可以广泛应用于软件安全管理成效评估领域。

技术领域

本发明涉及一种软件开发全生命周期安全管理成效评估方法和系统，属于软件安全管理评估领域。

背景技术

软件开发全生命周期安全管理过程中会用不同的工具对软件开发过程中的各个阶段进行管理，涉及的工具有项目管理系统、工单管理系统及开发安全支撑类系统等系统。

目前各个系统之间相对孤立，开发安全管理相关数据分布在各个系统中，且各个系统之间无法互通互联，无法进行数据整合。因此，进行软件开发全生命周期安全管理成效评估时仅局限于某个系统或某个开发阶段的安全管理成效评估，未站在软件开发全生命周期安全管理的整体视角进行全局评估。

发明内容

针对上述问题，本发明的目的是提供一种软件开发全生命周期安全管理成效评估方法和系统，通过采集软件开发全生命周期中开发安全管理相关数据、对数据进行整理及深入分析，制定出可以评估安全管理成效的评价指标，为评估开发安全管理的工作成效及为安全管理决策提供依据。

为实现上述目的，本发明采取以下技术方案：

本发明的第一个方面，是提供一种软件开发全生命周期安全管理成效评估方法，其包括以下步骤：1）对不同阶段中软件开发全生命周期安全管理相关系统中的开发安全管理数据进行采集；2）基于采集的开发安全管理数据以及预先构建的评价指标体系，计算得到软件开发全生命周期安全管理的各项评价指标值，进而得到开发安全排行榜类指标；3）基于采集的开发安全管理数据计算综合类评估指标，用于对软件开发全生命周期安全管理系统整体安全情况进行评估；4）基于步骤2）和步骤3）得到的评估结果，对软件开发全生命周期安全管理成效进行评估。

进一步，所述步骤1）中，所述不同阶段包括安全评审阶段、上线前安全检测阶段以及上线后周期性安全检测阶段。

进一步，所述步骤1）中，不同阶段采集的相关数据包括：安全评审阶段：从安全评审系统采集项目名称、系统名称、机构名、项目负责人、项目评审开始时间、结束时间、评审人、评审时间、评审意见、评审意见分类、项目涉及的重要场景数、重点安全需求数和识别的安全风险点；上线前安全检测阶段：从安全检测系统采集项目名称、系统名称、机构名、项目负责人、缺陷名称、系统检出缺陷数量、确认缺陷数量、缺陷级别、代码缺陷率、审批意见、检测时间、缺陷开始时间和缺陷修复时间；上线后周期性安全检测阶段：从安全检测系统采集项目名称、系统名称、机构名、项目负责人、漏洞名称、系统检出漏洞数量、确认漏洞数量、漏洞级别、漏洞发现时间、漏洞关闭时间、是否超期未整改和审批意见。

进一步，所述步骤2）中，所述预先构建的评价指标体系包括安全评审类指标、上线前安全检测类指标和上线后周期性安全检测类指标。

进一步，所述安全评审类指标包括安全评审项目数、安全评审次数、安全评审分布情况、评审项目涉及重要场景数、重点安全需求数、安全评审识别的安全风险点指标；所述安全评审项目数和安全评审次数指标根据项目名称、评审时间数据得到；所述安全评审分布情况指标根据机构名、项目负责人、评审意见、评审意见分类、评审时间数据得到；所述评审项目涉及重要场景数指标根据项目涉及的重要场景数、评审时间数据得到；所述重点安全需求数指标根据项目涉及的重点安全需求数、评审时间数据得到；安全评审识别的安全风险点指标根据识别的安全风险点、评审时间数据得到。