一、工作簡(jiǎn)況

1、任務(wù)來(lái)源

本項(xiàng)目為2022年的中關(guān)村信息安全測(cè)評(píng)聯(lián)盟團(tuán)體標(biāo)準(zhǔn)制定項(xiàng)目，標(biāo)準(zhǔn)名稱為

《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)應(yīng)用軟件開發(fā)安全管理測(cè)評(píng)要求》，中關(guān)村信

息安全測(cè)評(píng)聯(lián)盟的團(tuán)體標(biāo)準(zhǔn)立項(xiàng)公告文件號(hào)為：信安聯(lián)﹝2022﹞50號(hào)。

2、標(biāo)準(zhǔn)編制的主要成員單位

本項(xiàng)目由公安部信息安全等級(jí)保護(hù)評(píng)估中心牽頭，參與起草單位包括昆侖數(shù)

智科技有限責(zé)任公司、深圳開源互聯(lián)網(wǎng)安全技術(shù)有限公司、杭州默安科技有限公

司、上海計(jì)算機(jī)軟件技術(shù)開發(fā)中心、北京神州綠盟科技有限公司等。

3、主要工作過(guò)程

1、2021年8月至2021年11月，標(biāo)準(zhǔn)牽頭單位及協(xié)作單位調(diào)動(dòng)相關(guān)技術(shù)人員對(duì)

標(biāo)準(zhǔn)的內(nèi)容進(jìn)行預(yù)研，分析了國(guó)內(nèi)外相關(guān)形勢(shì)及發(fā)展趨勢(shì)，研究了國(guó)內(nèi)外的相關(guān)

政策法規(guī)及標(biāo)準(zhǔn)，草擬了標(biāo)準(zhǔn)草案的大綱。

2、2021年11月至2022年3月，標(biāo)準(zhǔn)牽頭單位及協(xié)作單位根據(jù)草案大綱完成了

編制草案初稿的編制。

3、2022年4月-9月，開展標(biāo)準(zhǔn)編制組內(nèi)針對(duì)標(biāo)準(zhǔn)草案進(jìn)行多輪討論和修訂。

4、2022年10月，提交了團(tuán)體標(biāo)準(zhǔn)制修訂的立項(xiàng)申請(qǐng)書。

5、2022年10月13日，中關(guān)村信息安全測(cè)評(píng)聯(lián)盟下發(fā)了《關(guān)于<信息安全技術(shù)

網(wǎng)絡(luò)安全等級(jí)保護(hù)應(yīng)用軟件開發(fā)安全管理測(cè)評(píng)要求>團(tuán)體標(biāo)準(zhǔn)立項(xiàng)的公告》（信

安聯(lián)[2022]50號(hào)）。

6、2022年10月-12月，標(biāo)準(zhǔn)編制組對(duì)標(biāo)準(zhǔn)草案核心內(nèi)容進(jìn)一步完善修改。

7、2023年3月，標(biāo)準(zhǔn)編制組將標(biāo)準(zhǔn)草案稿提交給中關(guān)村信息安全測(cè)評(píng)聯(lián)盟，

召開標(biāo)準(zhǔn)草案專家評(píng)審會(huì)。

8、2023年4月-5月，標(biāo)準(zhǔn)編制組根據(jù)專家意見修行完善修改。

1

二、標(biāo)準(zhǔn)編制原則和確定主要內(nèi)容的論據(jù)及解決的主要問(wèn)題

隨著信息技術(shù)在社會(huì)各領(lǐng)域、生活各方面的不斷應(yīng)用，人們對(duì)于軟件的依賴

越來(lái)越明顯，但軟件自身的安全問(wèn)題導(dǎo)致各類安全漏洞伴隨著軟件開發(fā)過(guò)程而產(chǎn)

生。如果在軟件設(shè)計(jì)和開發(fā)過(guò)程注重安全，將會(huì)使很多安全問(wèn)題得到解決。

同時(shí)等級(jí)保護(hù)系列標(biāo)準(zhǔn)之：GB/T22239-2019和GB/T28448-2019僅在安全管

理要求中對(duì)兩類開發(fā)方式：自行開發(fā)和外包開發(fā)做出了簡(jiǎn)明要求，未對(duì)應(yīng)用軟件

開發(fā)整體上做出更加系統(tǒng)化的要求。為進(jìn)一步明確軟件開發(fā)過(guò)程中的主要安全管

理活動(dòng)，同時(shí)將22239-2019中通用安全管理要求中關(guān)于軟件開發(fā)的相關(guān)安全管理

要求進(jìn)一步細(xì)化和擴(kuò)展，確保安全因素在開發(fā)過(guò)程中得以考慮和實(shí)施，本標(biāo)準(zhǔn)正

是基于以上目的而編制。

1、編制原則

本標(biāo)準(zhǔn)在編制過(guò)程中遵循以下原則：

a)實(shí)用性原則

本標(biāo)準(zhǔn)在編制過(guò)程中，綜合考慮我國(guó)目前網(wǎng)絡(luò)安全工作需要，各類等級(jí)保護(hù)

對(duì)象安全開發(fā)現(xiàn)狀，在充分全面的調(diào)研基礎(chǔ)上開展，使得標(biāo)準(zhǔn)更貼近實(shí)際需要，

保證可操作性。

b)通用性原則

本文件規(guī)定了網(wǎng)絡(luò)安全等級(jí)保護(hù)第一級(jí)至第四級(jí)等級(jí)保護(hù)對(duì)象在應(yīng)用軟件

開發(fā)過(guò)程中應(yīng)遵循的安全要求，適用于各類開發(fā)單位、軟件采購(gòu)、使用單位、第

三方評(píng)估單位等對(duì)應(yīng)用軟件開發(fā)過(guò)程進(jìn)行監(jiān)督管理和安全評(píng)估。

c)符合性原則

符合國(guó)家有關(guān)法律法規(guī)和已有標(biāo)準(zhǔn)規(guī)范的相關(guān)要求。

2、確定主要內(nèi)容的依據(jù)

標(biāo)準(zhǔn)制定的依據(jù)為：

a）標(biāo)準(zhǔn)格式按照GB/T1.1—2020標(biāo)準(zhǔn)要求編寫。

b）本標(biāo)準(zhǔn)制定參考以下國(guó)家標(biāo)準(zhǔn)：

1）GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求

2）GB/T28448-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求

3）GB/T38674-2020信息安全技術(shù)應(yīng)用軟件安全編程指南

2

3、標(biāo)準(zhǔn)主要內(nèi)容

本標(biāo)準(zhǔn)共分為9章，其中：

第1、2、3章，為標(biāo)準(zhǔn)的常規(guī)性描述，包括范圍、規(guī)范性引用文件、術(shù)語(yǔ)和

定義。

第4章為概述，描述軟件開發(fā)周期安全管理框架。該框架主要是由管理對(duì)

象安全和管理過(guò)程安全兩大方面構(gòu)成。其中，管理對(duì)象安全主要包括安全管理制

度、人員安全管理、環(huán)境安全管理、開發(fā)工具安全管理等內(nèi)容；管理過(guò)程安全主

要遵循應(yīng)用軟件開發(fā)周期各個(gè)環(huán)節(jié)(即，需求、設(shè)計(jì)、開發(fā)、測(cè)試、發(fā)布和交付

等環(huán)節(jié))提出的安全管理要求。另外，規(guī)范了軟件安全測(cè)評(píng)的等級(jí)劃分。測(cè)評(píng)等

級(jí)分為基本級(jí)（LB）和增強(qiáng)級(jí)(LI)。安全保護(hù)等級(jí)為第二級(jí)及以下的安全保護(hù)對(duì)

象，其應(yīng)用軟件開發(fā)過(guò)程的安全管理要求參考基本級(jí)（LB）管理要求；安全保護(hù)

等級(jí)為第三級(jí)及以上的安全保護(hù)對(duì)象，其應(yīng)用軟件開發(fā)過(guò)程安全管理要求除基本

級(jí)管理要求外，還需參考增強(qiáng)級(jí)管理要求(LI)。

第5章為安全管理要求。從軟件開發(fā)過(guò)程中需遵循的管理要求角度，分別

從安全管理制度、安全管理人員、環(huán)境安全管理、工具安全管理和開發(fā)過(guò)程安全

控制管理等方面提出要求。其中安全管理制度描述在軟件開發(fā)過(guò)程中需建立、發(fā)

布并維護(hù)各類管理制度、操作規(guī)范和表單，確保各項(xiàng)開發(fā)管理行為“有法可依、

有據(jù)可查”。安全管理制度描述開發(fā)涉及各類崗位設(shè)置、職責(zé)明確，任職過(guò)程中

培訓(xùn)、考核以及離職管理等要求。環(huán)境安全管理描述開發(fā)環(huán)境、測(cè)試環(huán)境和交付

環(huán)境等建設(shè)過(guò)程和日常運(yùn)維管理。工具安全管理描述工具準(zhǔn)入機(jī)制建立、工具使

用過(guò)程管理以及工具終止機(jī)制等收回管理。開發(fā)過(guò)程安全控制管理描述安全需

求、安全設(shè)計(jì)、安全開發(fā)、安全測(cè)試、安全發(fā)布、安全交付等軟件開發(fā)生命周期

各個(gè)活動(dòng)所需考慮的安全要求。

第6章為安全測(cè)評(píng)要求。分別從測(cè)評(píng)、評(píng)估的角度針對(duì)第5章的安全要求

提出各個(gè)測(cè)評(píng)單元實(shí)施過(guò)程。每個(gè)測(cè)評(píng)單元分別包括：測(cè)評(píng)指標(biāo)、測(cè)評(píng)對(duì)象、測(cè)

評(píng)實(shí)施和測(cè)評(píng)結(jié)果構(gòu)成。

三、采用國(guó)際標(biāo)準(zhǔn)的程度及水平的簡(jiǎn)要說(shuō)明

組織編制組成員學(xué)習(xí)國(guó)際NIST800系列關(guān)于安全軟件開發(fā)框架、

ISO/IEC27034等系列標(biāo)準(zhǔn)的核心內(nèi)容，并力求在本標(biāo)準(zhǔn)中加以考慮，確保相

3

關(guān)內(nèi)容與現(xiàn)有標(biāo)準(zhǔn)保持一致性。

四、重大分歧意見的處理過(guò)程和依據(jù)

無(wú)

五、其他應(yīng)予說(shuō)明的事項(xiàng)

無(wú)

4

一、工作簡(jiǎn)況

1、任務(wù)來(lái)源

本項(xiàng)目為2022年的中關(guān)村信息安全測(cè)評(píng)聯(lián)盟團(tuán)體標(biāo)準(zhǔn)制定項(xiàng)目，標(biāo)準(zhǔn)名稱為

《信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)應(yīng)用軟件開發(fā)安全管理測(cè)評(píng)要求》，中關(guān)村信

息安全測(cè)評(píng)聯(lián)盟的團(tuán)體標(biāo)準(zhǔn)立項(xiàng)公告文件號(hào)為：信安聯(lián)﹝2022﹞50號(hào)。

2、標(biāo)準(zhǔn)編制的主要成員單位

本項(xiàng)目由公安部信息安全等級(jí)保護(hù)評(píng)估中心牽頭，參與起草單位包括昆侖數(shù)

智科技有限責(zé)任公司、深圳開源互聯(lián)網(wǎng)安全技術(shù)有限公司、杭州默安科技有限公

司、上海計(jì)算機(jī)軟件技術(shù)開發(fā)中心、北京神州綠盟科技有限公司等。

3、主要工作過(guò)程

1、2021年8月至2021年11月，標(biāo)準(zhǔn)牽頭單位及協(xié)作單位調(diào)動(dòng)相關(guān)技術(shù)人員對(duì)

標(biāo)準(zhǔn)的內(nèi)容進(jìn)行預(yù)研，分析了國(guó)內(nèi)外相關(guān)形勢(shì)及發(fā)展趨勢(shì)，研究了國(guó)內(nèi)外的相關(guān)

政策法規(guī)及標(biāo)準(zhǔn)，草擬了標(biāo)準(zhǔn)草案的大綱。

2、2021年11月至2022年3月，標(biāo)準(zhǔn)牽頭單位及協(xié)作單位根據(jù)草案大綱完成了

編制草案初稿的編制。

3、2022年4月-9月，開展標(biāo)準(zhǔn)編制組內(nèi)針對(duì)標(biāo)準(zhǔn)草案進(jìn)行多輪討論和修訂。

4、2022年10月，提交了團(tuán)體標(biāo)準(zhǔn)制修訂的立項(xiàng)申請(qǐng)書。

5、2022年10月13日，中關(guān)村信息安全測(cè)評(píng)聯(lián)盟下發(fā)了《關(guān)于<信息安全技術(shù)

網(wǎng)絡(luò)安全等級(jí)保護(hù)應(yīng)用軟件開發(fā)安全管理測(cè)評(píng)要求>團(tuán)體標(biāo)準(zhǔn)立項(xiàng)的公告》（信

安聯(lián)[2022]50號(hào)）。

6、2022年10月-12月，標(biāo)準(zhǔn)編制組對(duì)標(biāo)準(zhǔn)草案核心內(nèi)容進(jìn)一步完善修改。

7、2023年3月，標(biāo)準(zhǔn)編制組將標(biāo)準(zhǔn)草案稿提交給中關(guān)村信息安全測(cè)評(píng)聯(lián)盟，

召開標(biāo)準(zhǔn)草案專家評(píng)審會(huì)。

8、2023年4月-5月，標(biāo)準(zhǔn)編制組根據(jù)專家意見修行完善修改。

1

二、標(biāo)準(zhǔn)編制原則和確定主要內(nèi)容的論據(jù)及解決的主要問(wèn)題

隨著信息技術(shù)在社會(huì)各領(lǐng)域、生活各方面的不斷應(yīng)用，人們對(duì)于軟件的依賴

越來(lái)越明顯，但軟件自身的安全問(wèn)題導(dǎo)致各類安全漏洞伴隨著軟件開發(fā)過(guò)程而產(chǎn)

生。如果在軟件設(shè)計(jì)和開發(fā)過(guò)程注重安全，將會(huì)使很多安全問(wèn)題得到解決。

同時(shí)等級(jí)保護(hù)系列標(biāo)準(zhǔn)之：GB/T22239-2019和GB/T28448-2019僅在安全管

理要求中對(duì)兩類開發(fā)方式：自行開發(fā)和外包開發(fā)做出了簡(jiǎn)明要求，未對(duì)應(yīng)用軟件

開發(fā)整體上做出更加系統(tǒng)化的要求。為進(jìn)一步明確軟件開發(fā)過(guò)程中的主要安全管

理活動(dòng)，同時(shí)將22239-2019中通用安全管理要求中關(guān)于軟件開發(fā)的相關(guān)安全管理

要求進(jìn)一步細(xì)化和擴(kuò)展，確保安全因素在開發(fā)過(guò)程中得以考慮和實(shí)施，本標(biāo)準(zhǔn)正

是基于以上目的而編制。

1、編制原則

本標(biāo)準(zhǔn)在編制過(guò)程中遵循以下原則：

a)實(shí)用性原則

本標(biāo)準(zhǔn)在編制過(guò)程中，綜合考慮我國(guó)目前網(wǎng)絡(luò)安全工作需要，各類等級(jí)保護(hù)

對(duì)象安全開發(fā)現(xiàn)狀，在充分全面的調(diào)研基礎(chǔ)上開展，使得標(biāo)準(zhǔn)更貼近實(shí)際需要，

保證可操作性。

b)通用性原則

本文件規(guī)定了網(wǎng)絡(luò)安全等級(jí)保護(hù)第一級(jí)至第四級(jí)等級(jí)保護(hù)對(duì)象在應(yīng)用軟件

開發(fā)過(guò)程中應(yīng)遵循的安全要求，適用于各類開發(fā)單位、軟件采購(gòu)、使用單位、第

三方評(píng)估單位等對(duì)應(yīng)用軟件開發(fā)過(guò)程進(jìn)行監(jiān)督管理和安全評(píng)估。

c)符合性原則

符合國(guó)家有關(guān)法律法規(guī)和已有標(biāo)準(zhǔn)規(guī)范的相關(guān)要求。

2、確定主要內(nèi)容的依據(jù)

標(biāo)準(zhǔn)制定的依據(jù)為：

a）標(biāo)準(zhǔn)格式按照GB/T1.1—2020標(biāo)準(zhǔn)要求編寫。

b）本標(biāo)準(zhǔn)制定參考以下國(guó)家標(biāo)準(zhǔn)：

1）GB/T22239-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)基本要求

2）GB/T28448-2019信息安全技術(shù)網(wǎng)絡(luò)安全等級(jí)保護(hù)測(cè)評(píng)要求

3）GB/T38674-2020信息安全技術(shù)應(yīng)用軟件安全編程指南

2

3、標(biāo)準(zhǔn)主要內(nèi)容

本標(biāo)準(zhǔn)共分為9章，其中：

第1、2、3章，為標(biāo)準(zhǔn)的常規(guī)性描述，包括范圍、規(guī)范性引用文件、術(shù)語(yǔ)和

定義。

第4章為概述，描述軟件開發(fā)周期安全管理框架。該框架主要是由管理對(duì)

象安全和管理過(guò)程安全兩大方面構(gòu)成。其中，管理對(duì)象安全主要包括安全管理制

度、人員安全管理、環(huán)境安全管理、開發(fā)工具安全管理等內(nèi)容；管理過(guò)程安全主

要遵循應(yīng)用軟件開發(fā)周期各個(gè)環(huán)節(jié)(即，需求、設(shè)計(jì)、開發(fā)、測(cè)試、發(fā)布和交付

等環(huán)節(jié))提出的安全管理要求。另外，規(guī)范了軟件安全測(cè)評(píng)的等級(jí)劃分。測(cè)評(píng)等

級(jí)分為基本級(jí)（LB）和增強(qiáng)級(jí)(LI)。安全保護(hù)等級(jí)為第二級(jí)及以下的安全保護(hù)對(duì)

象，其應(yīng)用軟件開發(fā)過(guò)程的安全管理要求參考基本級(jí)（LB）管理要求；安全保護(hù)

等級(jí)為第三級(jí)及以上的安全保護(hù)對(duì)象，其應(yīng)用軟件開發(fā)過(guò)程安全管理要求除基本

級(jí)管理要求外，還需參考增強(qiáng)級(jí)管理要求(LI)。

第5章為安全管理要求。從軟件開發(fā)過(guò)程中需遵循的管理要求角度，分別

從安全管理制度、安全管理人員、環(huán)境安全管理、工具安全管理和開發(fā)過(guò)程安全

控制管理等方面提出要求。其中安全管理制度描述在軟件開發(fā)過(guò)程中需建立、發(fā)

布并維護(hù)各類管理制度、操作規(guī)范和表單，確保各項(xiàng)開發(fā)管理行為“有法可依、

有據(jù)可查”。安全管理制度描述開發(fā)涉及各類崗位設(shè)置、職責(zé)明確，任職過(guò)程中

培訓(xùn)、考核以及離職管理等要求。環(huán)境安全管理描述開發(fā)環(huán)境、測(cè)試環(huán)境和交付

環(huán)境等建設(shè)過(guò)程和日常運(yùn)維管理。工具安全管理描述工具準(zhǔn)入機(jī)制建立、工具使

用過(guò)程管理以及工具終止機(jī)制等收回管理。開發(fā)過(guò)程安全控制管理描述安全需

求、安全設(shè)計(jì)、安全開發(fā)、安全測(cè)試、安全發(fā)布、安全交付等軟件開發(fā)生命周期

各個(gè)