內容簡介一個組織或企業(yè)從事工程的能力將直接關系到工程的質量。國際上通常采用能力成熟度模型（CMM）來評估一個組織的工程能力。根據統(tǒng)計過程控制理論，所有成功企業(yè)都有一個共同特點，即具有一組定義嚴格、管理完善、可測量的工作過程。CMM模型認為，能力成熟度高的企業(yè)持續(xù)生產高質量產品的可能性很大，而工程風險則很小。為了將CMM模型引入到系統(tǒng)安全工程領域，有關國際組織共同制定了面向系統(tǒng)安全工程能力的成熟度模型（SSE-CMM）。該模型是在CMM模型的基礎上，通過對安全工程進行管理的途徑將系統(tǒng)安全工程轉變?yōu)橐粋€具有良好定義的、成熟的、可測量的先進工程學科9該模型已作為國際際準被推薦使用。本書著重介紹了SSE-CMM模型的2．版本及其評估方法。共分十章，分別為：SSE-CMM簡介，CMM概念，模型體系結構，SSE-CMM使用，通用實踐，基本實踐，SSAM簡介，評估方法階段，發(fā)起組織指南和評估組織指南。附錄中給出了評估規(guī)劃及其評估過程中所使用的標準化表格。本書是目前國內首家對該模型進行詳細介紹的出版物，適用于從事信息技術安全的公司、企業(yè)及其相關管理和技術人員，也適合從事系統(tǒng)安全評估的組織和個人使用。編譯者序一個組織或企業(yè)從事工程的能力將直接關系到工程的質量。國際上通常采用能力成熟度模型（CMM，CapabilityMaturityModel）來評估一個組織的工程能力。CMM模型是建立在統(tǒng)計過程控制理論基礎上的。統(tǒng)計過程控制理論指出，所有成功企業(yè)都有共同特點，即具有一組定義嚴格、管理完善、可測量的工作過程。CMM模型認為，能力成熟度高的企業(yè)持續(xù)生產高質量產品的可能性很大，而工程風險則很小。為了將CMM模型引入到系統(tǒng)安全工程領域，1994年4月，美國國家安全局、美國國防部、加拿大通信安全局以及6多家著名公司共同啟動了面向系統(tǒng)安全工程的能力成熟度模型（SSE-CMM，SystemsSecurityEngineeringCapabilityMaturityModel）項目。該項目的目的是在CMM模型的基礎上，通過對安全工程進行管理的途徑將系統(tǒng)安全工程轉化為一個具有良好定義的，成熟的、可測量的先進工程學科。1996年1月，SSE-CMM1．問世，SSE-CMM項目主管單位選擇了5家公司對該模型進行長達一年的試用，根據試用中積累的經驗對模型進行了多次修改，于1998年1月公布了SSE-CMM2．版本，并提交給國際標準化組織申報國際標準。SSE-CMM模型將各種系統(tǒng)安全工程任務抽象為11個有明顯特征的子任務，而完成一個子任務所需要實施的一組工程實踐稱為一個過程域（ProcessArea）。SSE-CMM模型為每個過程域定義了一組確定的基本實踐（BasicPractice），并規(guī)定每一個基本實踐對于完成該任務都是不可缺少的。一個組織每次執(zhí)行同一個過程時，其執(zhí)行結果的質量可能是不同的。SSE-CMM模型將這個變化范圍定義為一個組織的過程能力。對于“成熟”的組織，每次執(zhí)行同一任務的結果質量變化范圍比“不成熟”的組織要小。為了衡量一個組織的能力成熟度，其過程完成的質量必須是可度量的。為此，SSE-CMM模型定義了5個過程能力級別，每個級別用一組共同特性（CommonFeature）來標識，每個共同特性則用一組通用實踐（GenericPractice）來描述。這里的組織是指執(zhí)行過程或接受過程能力評估的一個組織機構，它們可以是一個企業(yè)、企業(yè)的一個部門或者是一個項目組。系統(tǒng)安全工程的目的是通過分析企業(yè)存在的安全風險，建立與之相平衡的安全需求，并將安全需求貫穿于系統(tǒng)安全工程活動的整個生命周期。系統(tǒng)安全工程包括概念定義，需求分析，系統(tǒng)設計、開發(fā)、集成、安裝、操作、維護以及退役。另外還涉及到眾多的安全問題，如計算機安全、網絡安全、通信安全、信息安全、操作安全、管理安全、物理安全、輻射安全和人員安全等。系統(tǒng)安全工程還需要證實安全機制的正確性和有效性，證明系統(tǒng)安全的信任度能夠達到用戶的要求，或者系統(tǒng)遺留的安全脆弱性和風險在用戶所容許的范圍內。
鄂公網安備 42010302001612號 