BSIMM10：基于风险分析的软件安全实践与成熟度模型

"BSIMM 中文版 BSIMM10" BSIMM（Building Security In Maturity Model）是用于评估和指导软件安全成熟度的一个框架，它通过10个领域的活动来描述软件安全实践的成熟度水平。BSIMM10反映了当前业界对DevOps的接纳以及对软件安全文化的重视。以下是BSIMM10中各等级关键知识点的详细说明： **第1级 - 初始阶段** - **活动评估和架构审查** (AA1.4): 风险问卷调查用于应用程序的风险排序，SSG进行特别审查。 - **代码审查** (CR1.4): 结合自动化工具和人工审查，所有项目强制执行代码审查。 - **知识循环与培训** (CR1.6): 通过集中报告推动知识的传播和培训。 **第1级 - 开发与测试** - **质量保证** (ST1.1): 确保QA支持边缘和边界值条件测试。 - **安全测试** (ST1.3): 根据安全性需求和功能进行测试。 **第2级 - 发展阶段** - **架构分析流程** (AA2.1, AA2.2): 定义并标准化AA流程和架构描述。 - **自动化工具选择** (CR2.5, CR2.6): 指派工具辅导员，使用可定制规则的自动化工具。 - **缺陷管理** (CR2.7): 优先处理N个最重要的缺陷，基于实际数据。 - **安全性集成** (ST2.1, ST2.4, ST2.5, ST2.6): 将黑盒安全性工具整合到QA流程，共享安全性检查结果，自动化安全性测试，以及针对API的模糊测试。 **第3级 - 成熟阶段** - **高级架构分析** (AA3.1, AA3.2, AA3.3): 工程团队主导AA流程，分析结果融入标准架构模式，SSG作为资源和导师。 - **能力提升** (CR3.2): 培养整合评估结果的能力，消除特定缺陷，自动进行恶意代码检测，执行编码标准。 - **风险驱动的测试** (ST3.3, ST3.4, ST3.5): 利用风险分析结果进行测试，使用代码覆盖率分析，以及实施对抗性安全测试（滥用案例）。 BSIMM10的最新变化反映了组织对数字化转型中软件安全的整合，包括软件定义生命周期治理、软件辅助监控的创建，以及软件定义基础设施的自动验证。随着组织的成熟，关注点从增加活动数量转向了活动的深度、广度和规模，以适应快速的部署需求。BSIMM10提供了一个基准，帮助企业对照实际操作来制定和优化他们的软件安全计划。