NIST 安全软件开发框架 1.1

识别并记录组织软件开发基础设施和流程的所有安全需求，并随时间维护这些需求。例如：示例 1：定义用于保护软件开发基础设施及其组件的政策，包括开发端点，在整个软件开发生命周期（SDLC）中并维持该安全性。示例 2：定义在整个软件开发生命周期（SDLC）中确保软件开发过程安全的策略，并维护该安全性，包括对所开发软件中使用的开源和其他第三方软件组件的安全管理。示例 3：至少每年审查并更新安全要求，或者在有来自内部或外部的新要求，或针对软件开发基础设施发生重大安全事件时尽早进行更新。 示例 4：向受影响的人员传达即将发生的要求变化。 参考文献：BSAFSS：SM.3, DE.1, IA.1, IA.2 BSIMM：CP1.1, CP1.3, SR1.1, SR2.2, SE1.2, SE2.6 EO14028: 4e(ix) IEC62443: SM-7, SM-9 NISTCSF: ID.GV-3 OWASPASVS: 1.1.1 OWASPMASVS: 1.10 OWASPSAMM: PC1-A, PC1-B, PC2-A PCISSLC: 2.1, 2.2 SCFPSSD: 安全开发实践的实施和部署规划 SP80053: SA-1, SA-8, SA-15, SR-3 SP800160: 3.1.2, 3.2.1, 3.2.2, 3.3.1, 3.4.2, 3.4.3 SP800161: SA-1, SA-8, SA-15, SR-3 SP800181: T0414;K0003, K0039, K0044, K0157, K0168, K0177, K0211, K0260, K0261, K0262, K0524;S0010, S0357, S0368;A0033, A0123, A0151

识别并记录组织开发的软件所需满足的所有安全要求，并随时间维护这些要求。 示例： 示例 1：制定政策，明确基于风险的软件架构和设计要求，例如使代码模块化以便于代码重用和更新；在执行过程中将安全组件与其他组件隔离；避免使用未记录的命令和设置；并提供有助于软件获取者安全部署、操作和维护软件的功能。示例 2：定义指定组织软件安全要求的策略，并在软件开发生命周期（SDLC）的关键点验证合规性（例如，通过关卡验证的软件缺陷类别、对已发布软件中发现的漏洞的响应）。示例3：分析可用技术栈的风险（例如，语言、环境、部署模型），并推荐或要求使用相对于其他技术栈能降低风险的栈。示例4：定义策略，指定每个软件版本需要归档的内容（例如代码、包文件、第三方库、文档、数据清单）以及根据软件开发生命周期模型、软件使用寿命结束和其他因素需要保留的时间。示例 5：确保政策涵盖整个软件生命周期，包括通知用户软件即将停止支持的时间以及软件使用寿命结束的日期。示例6：至少每年审查一次所有安全需求，或在收到内部或外部的新需求、已发布软件中发现重大漏洞，或针对组织开发的软件发生重大安全事件时，提前进行审查。示例 7：建立并遵循处理需求例外请求的流程，包括对所有已批准例外进行定期审查。参考：BSAFSS: SC.1-1, SC.2, PD.1-1, PD.1-2, PD.1-3, PD.2-2, SI, PA, CS, AA, LO, EE BSIMM: SM1.1, SM1.4, SM2.2, CP1.1, CP1.2, CP1.3, CP2.1, CP2.3, AM1.2, SFD1.1, SFD2.1, SFD3.2, SR1.1, SR1.3, SR2.2, SR3.3, SR3.4 EO14028: 4e(ix) IEC62443: SR-3, SR-4, SR-5, SD-4 ISO27034: 7.3.2 MSSDL: 2, 5 NISTCSF: ID.GV-3 OWASPMASVS: 1.12 OWASPSAMM: PC1-A, PC1-B, PC2-A, PC3-A, SR1-A, SR1-B, SR2-B, SA1-B, IR1-A PCISSLC: 2.1, 2.2, 2.3, 3.3 SCFPSSD: 建立编码标准和规范 SP80053: SA-8, SA-8(3), SA-15, SR-3 SP800160: 3.1.2, 3.2.1, 3.3.1 SP800161: SA-8, SA-15, SR-3 SP800181: T0414;K0003, K0039, K0044, K0157, K0168, K0177, K0211, K0260, K0261, K0262, K0524;S0010, S0357, S0368;A0033, A0123, A0151

向所有将向组织提供商业软件组件以供组织自身软件重用的第三方传达需求。[原PW.3.1] 示例：示例1：为软件组件定义一套核心安全需求，并将其包含在采购文件、软件合同以及与第三方的其他协议中。示例 2：定义选择软件的安全相关标准；这些标准可以包括第三方的漏洞披露计划和产品安全事件响应能力，或第三方对组织定义的实践的遵守情况。示例 3：要求第三方证明其软件符合组织的安全要求。示例 4：要求第三方为其软件的所有组件提供来源数据和完整性验证机制。示例 5：建立并遵循流程，在第三方软件组件未满足安全要求时处理风险；这应包括对所有批准的要求例外进行定期审查。参考资料：BSAFSS: SM.1, SM.2, SM.2-1, SM。2-4 BSIMM: CP2.4, CP3.2, SR2.5, SR3.2 EO14028: 4e(vi), 4e(ix) IDASOAR: 19, 21 IEC62443: SM-9, SM-10 MSSDL: 7 NISTCSF: ID.SC-3 OWASPSAMM: SR3-A SCAGILE: 需要安全专家协助的任务 8 SCFPSSD: 管理使用第三方组件固有的安全风险 SCSIC: 供应商采购完整性控制 SP80053: SA-4, SA-9, SA-10, SA-10(1), SA-15, SR-3, SR-4, SR-5 SP800160: 3.1.1, 3.1.2 SP800161: SA-4，SA-9，SA-9(1)，SA-9(3)，SA-10，SA-10(1)，SA-15，SR-3，SR-4，SR-5 SP800181: T0203，T0415；K0039；S0374；A0056，A0161