《信息安全工程学-夏鲁宁》第12讲sse-cmm评估方法

《《信息安全工程学-夏鲁宁》第12讲sse-cmm评估方法》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、信息安全工程学第12讲SSE-CMM评估方法1SSE-CMM评估方法（SSAM）SSAM概述计划阶段准备阶段现场阶段报告阶段2SSE-CMM评估方法（SSAM）SSAM概述计划阶段准备阶段现场阶段报告阶段3SSAM概述如何按照SSE-CMM模型来评估一个工程组织的成熟度？SSAM,SSE-CMMAppraisalMethod作为专门基于SSE-CMM的评估方法；包含评估一个信息安全工程组织的工程过程能力和成熟度所必需的信息及指南；可用于组织级评估，也可用于项目级的评估SSAM使用多重数据采集方法获得被评估组织或项目中所实施过程的

2、相关信息采集途径：问卷调查、人员访谈、证据分析4SSAM评估的参与者就大的范围而言，实现SSAM评估的参与方包括发起组织、评估组织及被评估组织。5发起组织（发起者）发起组织是评估过程的启动者责任：定义评估范围和目标从评估组织中选择可用的评估方案对SSE-CMM模型进行裁减以适应需要另外，发起组织可能需要为评估组织提供资金6评估组织（评估者）评估组织提供从事评估工作的人员大多数情况下，评估组织将协助发起方选择合适的评估方案，以及裁减SSE-CMM评估人员在评估过程中要注意保持客观态度，不要把偏见带入工作中7被评估组织（被评估者）被

3、评估组织，顾名思义，是接受评估的组织可能是组织的一个部门，也可能是整个组织被评估组织要做的事情通常由发起方给出评估要求的时候确定，或者由竞标会上投标的评估组织给出。它依赖公司的组织结构。8SSAM评估的参与者三种类型的组织中，各包含若干个角色，下面的表格概括了主要的角色注意，组织中的单个人可能同时扮演多个角色对于自评估来说，评估参与者大多来自同一个组织，但是从评估的目标、功能来看，仿佛是来自不同的三个组织但是，有兴趣进行自评估的组织也可能把评估工作外包9SSAM评估的参与者10类型角色名称描述主要职责从业资格发起组织发起者提出评

4、估要求，启动评估过程。定义评估目标；作为评估组织和被评估方组织之间的桥梁。支持评估活动的能力。评估组织评估组所有参与工作的评估组织成员。参与评估。每个评估组成员至少具备以下资历中的一条：1、曾参与过SSE-CMM项目2、10年以上安全工程经验3、两年以上工程过程改进经验4、曾接受培训或曾经从事过其他学科CMM的评估工作，最好是SSE-CMM对于整个评估组而言，要保证具备上述资历的人都存在。SSAM评估的参与者（续表）11类型角色名称描述主要职责从业资格组织者领导评估组进行评估工作；对评估组的具体工作不能干涉，只是组织评估中的各种

5、活动，并作为与发起组织和被评估组织的主要联系人。保证评估的顺利进行；与发起者一起协调评估活动；制定和维护评估计划。具备上述评估组成员资历的大部分，最好曾经作为组织者参与过评估工作。证据管理员维护证据的保管。请求、收集和处理被评估组织提供的证据。出色的配置管理能力表决成员评估组中具有表决资格的成员。识别并分析数据和证据；开发评估发现报告和定级报告。SSAM评估的参与者（续表）12类型角色名称描述主要职责从业资格观察员评估组中的非表决人员，对评估组的工作没有表决权。协助表决人员和组织者；收集总结使用SSAM的经验。足够的SSE-CM

6、M知识和SSAM知识。被评估组织现场人员所有参与评估的被评估组织员工。参与评估发现报告的制定；解答评估人员的问题。被评估组织员工。现场协调员被评估方的联系人。评估期间协调被评估组织的活动；与发起者和组织者保持联络。对被评估组织结构、业务功能、组织政策等的充分了解；在评估过程中有权决定涉及被评估组织的事务。行政官员被评估组织的高级别官员。为评估提供支持。有命令员工参与评估的权力。SSAM评估的参与者（续表）13类型角色名称描述主要职责从业资格行政官员发言人行政官员的代言人公开见面会中代表被评估组织发言。被评估组织的行政官员之一。项

7、目经理待评估工程项目的负责人。回复问卷调查，会谈时解答评估人员问题。可以勘查待评估项目的安全工程相关部分。项目员工被评估方参与评估的普通员工。面谈时解答评估人员问题。面谈时解答评估人员问题。每个参与者的工作量估计14评估角色建议的人数每人工作量（小时）总工作量（小时）发起者18080组织者2160320表决成员480320观察员18080现场协调员1100100项目经理1（每个项目）1030项目员工6（每个项目）472总计30无1002评估类型三方评估发起、评估与被评估组织是不同的3个组织自评估发起、评估与被评估组织都是同一个组

8、织如果是为了自身工程能力的改进，适宜使用自评估如果评估目标是下列一种，要考虑进行三方评估：基于工程合同的要求，考察合作方的资格；独立的比较供应商，看谁最具有资格；基于检验目的，评估已有供应商；确保用户的期望被理解和满足；在理解供应商弱点的基础上，管理项目风险。1