SSE-CMM工程

系统安全工程能力成熟度模型（SSE-CMM）是一套方法论+评估工具

一、概述：

系统安全工程能力成熟度模型 (SSE-CMM) 是一种衡量信息安全工程实施能力的方法，主要用于指导信息安全工程的完善和改进，使信息安全工程成为一个清晰定义的、成熟的可管理的、可控制的、有效的和可度量的学科。

SSE-CMM的用途主要体现在对信息安全工程能力进行评估；SSE-CMM的目标就是把安全工程发展成为一种有完整定义的、成熟的和可测量的工程学科

二、SSE-CMM的用途

SSE-CMM 及其评估方法有以下用途 :

(1) 被工程组织作为评估他们的安全工程实践和提出改进意见的工具： 帮助组织识别安全工程短板（如某 云服务商通过评估发现运维监控能力不足）

(2) 被安全工程评估组织利用并作为建立基于组织能力信任度的基础： 为采购方提供供应商能力证明（如 政府招标要求 SSE-CMM 三级以上认证）

(3) 用户使用 SSE-CMM 评估方法来评估产品提供商安全工程能力的标准机制： 降低产品选择风险（如企 业采购防火墙前要求供应商提供成熟度报告）

使用SSE-CMM的好处：

（1）工程组织：通过认证获取更多客户的信任

（2）采办组织：选择成熟度高的供应商缩短验收周期

（3）评估组织：基于成熟度等级快速定位问题

  

三、SSE-CMM的体系结构

SEE-CMM将通用的安全工程过程分为三个不同的基本单元： 风险、工程和信任度

风险过程标识出所开发的产品或系统中存在的危险，并对这些危险进行优先级排序；其次，工程过程利用所有工程方法确定并实施针对危险可能导致的问题的解决方案；最后，信任度过程为解决方案建立起信任度，并将这种信任度传达客户。（ 风险过程：存在的危险进行排序；工程过程：确定并实施问题的解决方案；信任度过程：建立信任度）

1、风险

有害事件由3部分组成： 威胁、脆弱性和负面影响

SSE-CMM的结构描述

SSE-CMM模型设计分为两个维数：域和能力。

域维包含了共同定义安全工程的实施活动，这些实施在SSE-CMM模型中称为“ 基本实践（BP）”组件。

能力维表示的实践代表了组织对过程的管理和制度化能力，称为“ 通用实践（GP）”通用实践是基本实践过程中必须要完成的活动。

域维：

        11个安全工程PA（如PA01管理安全控制）+ 11个系统工程PA（如PA13管理配置）

能力维：

        5个能力级别：从Level1（非正式执行）到Level5（持续改进）

        通用实践（GP） ：如 Level2 的 GP2.1.1“ 规划过程 ” 要求制定安全工程计划。

2、基本实践与过程域

SSE-CMM包含了 61个基本实践，归类成11种覆盖安全工程主要领域的过程域（PA）。

SSE-CMM 的11 种过程域，它们侧重于安全工程 :

        PA01: 管理安全控制（确保安全策略、标准和控制措施的有效定义、实施与维护）

         PA02: 评估安全风险（识别威胁与脆弱性，量化风险优先级）

        PA03: 评估安全（验证安全措施的有效性及合规性）

        PA04: 协调安全（协调内外部团队的安全协作）

        PA05: 监控安全态势（持续监控安全状态并响应事件）

        PA06: 提供安全输入 （将安全需求融入系统全生命周期）

        PA07: 确定安全需求 （明确系统的安全目标与合规要求）

        PA08: 验证与确认安全 （通过测试确保安全措施有效）

        PA09: 确保质量（将安全工程与质量管理结合）

        PA10: 管理配置（控制系统配置的完整性与一致性）

        PA11: 管理项目风险（管理安全工程相关的项目风险）

SSE-CMM 还包括了侧重于工程项目和组织实践的其他 11 类过程域 (PAI2-PA22)：

        PA12保证质量                                  PA13 管理配置

        PA14管理项目风险                           PA15 监控和控制技术行为

        PA16规划技术行为                           PA17定义组织的系统工程过程

        PA18改进组织的系统工程过程         PA19管理产品线升级

        PA20管理系统工程支持环境             PA21 提供当前所需的技能和知识

        PA22与提供商协调

3、通用实践与能力级别

        通用实践是应用于所有过程域中的活动，强调过程的管理、度量和制度化。通常使用通用实践来评估一个组织执行一个过程的能力。

        通用实践被归类于 12个称为“公共特征（CF）”的逻辑域。这 12个公共特征被分为5个能力等级。

        每个公共特征包含了一个或者多个通用实践。

能力评估口诀：

        “选PA,查BP，过CF，定级别”

四、信任度评价

过程证据 VS 传统证据：

过程证据: 定义:  证明安全工程流程规范、可重复的证据。

                优点：长期可信，展示系统性

                缺点：需要持续维持

传统证据: 定义：一次性认证或者测试结果

                优点：权威背书

                缺点：可能“应付检查”

如何用SSE-CMM提升信任度？

        1.明确客户需求（如“数据不能泄露”）

        2.选择相关PA（如PA06确定需求、PA07验证安全）

        3.执行实践并保留证据（如需求文档、测试报告）

        4.向客户展示证据（如提供透明报告）

SSE-CMM与ISSE的比较：

假如ISSE像造车流程书，那么SSE-CMM就像汽车工厂的质检标准

SSE-CMM的过程域与ISSE的功能过程的对应关系：

核心差异对比表：

两者如何互补？

        ISSE:安全工程的“行动指南”

        SSE-CMM:安全工程的“能力标尺”

        两者结合：按照指南行动，用标尺改进，打造可靠的安全系统