IEC 62443-4-1: Secure Product Development Lifecycle Requirements 1.0

制定并维护安全产品开发的正式政策。

定义安全产品开发的流程和程序。

明确安全开发各角色的责任。

为安全开发分配必要资源。

建立安全开发流程的持续改进机制。

监控安全开发流程的合规性。

为开发人员提供安全培训。

评估人员安全开发能力。

鼓励获得安全相关专业认证。

建立持续安全学习机制。

管理安全开发知识库。

在产品规划中纳入安全需求。

在开发计划中设置安全里程碑。

评估产品开发的安全风险。

为安全活动分配预算。

评估和管理供应商安全。

进行产品威胁分析。

定义产品安全用例。

定义产品安全目标。

识别适用的安全合规要求。

建立产品安全基线。

文档化产品安全需求。

建立安全需求追溯矩阵。

验证安全需求的完整性和一致性。

管理安全需求变更。

确定安全需求优先级。

评审安全设计满足需求。

确保安全需求测试覆盖。

定义安全验收标准。

确保安全需求闭环验证。

设计安全产品架构。

实施安全分区设计。

定义产品信任边界。

实施纵深防御设计。

建立安全设计模式库。

应用安全设计模式。

识别和避免安全反模式。

进行安全架构评审。

设计数据加密机制。

设计密钥管理方案。

设计认证机制。

设计安全通信协议。

遵循安全编码标准。

使用静态分析工具。

进行安全代码审查。

修复代码安全漏洞。

保护构建环境安全。

管理第三方依赖安全。

验证构建产物完整性。

对发布产物进行签名。

对构建产物执行完整性校验，并保存校验结果以支持后续审计。

确保构建过程、工具链版本和发布产物均具备可追溯记录。