GB/T XXXXX
—
XXXX
13
a
）该模块或组件是否与信息安全相关；
注 1：附录
D
提供了可用于评估信息安全相关性的方法和标准。
注 2：如果确定该相关项或组件与信息安全无关，则没有相关的信息安全活动，因此不会启动信息安全计划。
b)
如果该相关项或组件与信息安全有关，该相关项或部件是新开发还是复用；
c)
是否按照
7.4.3
进行裁剪。
[RQ-06-03]
信息安全计划应包括：
a)
活动的目标；
b)
对其他活动或信息的依赖；
c)
负责执行活动的人员；
d)
执行活动所需的资源；
e)
开始节点或终止节点以及预期持续时间；
f)
工作成果的标识。
[RQ-06-04]
应根据
[RQ-05-03]
和
[RQ-05-04]
分配开发和维护信息安全计划以及根据信息安全计划
跟踪信息安全活动进度的职责。
[RQ-06-05]
信息安全计划应：
a
）在开发项目计划中提及；
b
）包括在项目计划中，以使信息安全活动具有可区分性。
注 3：信息安全计划可以在配置管理下包含与其他计划（如项目计划）的交叉引用（见
[RQ-06-09]
）。
[RQ-06-06]
信息安全计划应根据第
9
、
10
、
11
和
15
章的相关要求，指定与概念阶段和产品开发阶
段所需要的信息安全活动。
[RQ-06-07]
当进行的活动确定要发生更改或细化时，应更新信息安全计划。
注 4：信息安全计划可以在开发过程中逐步完善。例如，信息安全计划可以根据信息安全活动的结果进行更新，如
TARA
（见第
16
章）。
[PM-06-08]
对于根据本文件
16.8
的分析确定的风险值为
1
的威胁场景，可以省略与
10.5
、
11
和
12
章的符合性。
注 5：威胁情况可能会对信息安全产生影响，如果产生影响，则对相应的风险进行处理。
注 6：可以根据信息安全档案中定义的基本原理来论证对此类风险的处理是否充分，基本原理可以基于质量管理标
准的符合性，如
IATF 16949
与
ISO 9001
相结合，并结合其他措施，例如：
—信息安全意识保证；
—质量人员的信息安全培训；
—组织的质量管理体系中规定的信息安全具体措施。
[RQ-06-09]
信息安全计划中确定的工作成果应在后开发阶段发布之前和发布时进行更新并保持准
确性。
[RQ-06-10]
对于分布式信息安全活动，客户和供应商均应根据第
16
章为其各自的信息安全活动和
接口定义信息安全计划。
[RQ-06-11]
信息安全计划应按照
6.4.4
的规定，接收配置管理和文件管理。
[RQ-06-12]
按照
6.4.6
的规定，信息安全计划中确定的工作成果，应接受配置管理、变更管理、需
求管理和文件管理。
7.4.3 裁剪
[PM-06-13]
信息安全活动可以被裁剪。
[RQ-06-14]
如果信息安全活动被裁剪了，应提供并审查基本原理，用来证明可以通过裁剪充分实现
本文件的相关目标。
注：因供应链中的另一实体执行而未执行的活动不被视为裁剪，被视为分布式信息安全活动。然而，信息安全活动
的分布可以导致联合裁剪。
剩余66页未读，继续阅读
