CMMI V3.0赋能安保实践域是CMMI-SEC（安保视图） 的特定实践域

CMMI赋能安保实 践域必需的实践域信息

意图
开发并持续更新安保方法，包括预测、识别和采取措施，以避免或最大限度减少安保问题对组织或解决方案的影响。

价值
减少安保威胁和漏洞对业务性能的影响。
 

其他必需的实践域信息
识别安保需求和约束条件是一项需要日复一日、年复一年持续开展的活动。这项活动应当永无止境，而不能是一种亡羊补牢或权衡之举，例如时间进度、成本和质量等。赋能安保包括在整个项目或组织中系统性地识别、评估和满足安保需求。安保方法主要涵盖以下三组需求：

• 物理安保和环境需求
• 使命、人员和过程安保需求
• 网络安保、技术和相关信息安保需求
较为成熟的组织通常拥有安保计划或能力，它们可能集中在一起，也可能分布在多个职能或团体中，这些职能或团体将识别、评估和持续分析安保威胁和安保态势改进机会。

CMMI赋能安保实践域解 释性实践域信息

CMMI赋能安保实 践总结

第 1 级

ESEC 1.1 识别并记录安保需求和问题。
ESEC 1.2 处理优先的安保需求和问题。

第 2 级

ESEC 2.1 识别并记录安保需求，持续对其更新，并使用其来确立安保方法和目标。
ESEC 2.2 开发、持续更新并遵循满足物理安保需求的方法。
ESEC 2.3 开发、持续更新并遵循满足使命、人员和过程相关安保需求的方法。
ESEC 2.4 开发、持续更新并遵循满足网络安保需求的方法。

第 3 级

ESEC 3.1 建立和部署组织安保运营能力。
ESEC 3.2 制定、遵循和实施组织安保策略、方法和架构，并持续对其进行更新。
ESEC 3.3 在整个组织中定期执行安保评审和评价，并对结果采取措施。

CMMI赋能安保其他实 践域解释性信息

赋能安保和管理安保通常涵盖以下这三个被称为“CIA 三要素”的方面：
• 保密性 (Confidentiality)：这是保护敏感、私密信息免受未经授权的访问，以便只允许经过授权的用户和过程访问或修改数据。要保护保密性，取决于能够定义和执行信息访问级别。在某些情况下，这样需要将信息分成多个集合，并按需要访问这些信息的人员和信息的敏感程度（例如违反保密性招致的损害程度）来组织这些集合。最常用于管理保密性的方法示例包括访问控制列表、卷和文件加密以及文件权限。
• 完整性 (Integrity)：应当持续更新数据以使其处于正确的状态，且任何人都无法无意或蓄意对其进行不当修改。完整性或数据完整性旨在防止任何未经授权方删除或修改数据，并能够在已授权的人员进行了不当更改时予以撤销。
• 可用性 (Availability)：这是指正确适当数据的实际可用性，以使经过授权的用户总能在需要时访问数据。身份验证机制、访问渠道和系统都需要对其保护的信息正确发挥作用，并确保能够在需要时提供这些信息。高可用性系统是具有专为提高可用性而设计的架构的计算资源。根据专门的系统设计，该系统可针对硬件故障、升级或停电，帮助提高可用性，也可管理多个在发生各种网络故障时使用的网络连接。
 

组织可应用多个安保要素，具体取决于业务需求、目标和潜在威胁。这些要素通常适用于不同类型的组织、背景和环境，可能包括：

• 访问控制、授权和身份管理及监控
• 物理访问
• 逻辑访问
• 网络和系统访问
• 可移动的介质保护和访问
• 物理保护
• 恢复
• 人员安保
• 身份和身份验证
• 使命和解决方案安保
• 系统、通讯和网络保护
• 系统和数据完整性，包括备份和恢复准确度
• 保证、审计、问责和相关数据管理
• 安保评审和评价
• 安保对策
• 培训和意识（包括情景意识）
• 渗透攻击
• 安保安全事件响应、恢复和韧性
• 风险、威胁和漏洞管理
• 为以上方面提供支持的过程和工具

深度防御是一种保障网络安保的方法，这种方法将一系列防御机制分层，以保护重要数据和信息。当一种机制失效时，其他机制将发挥作用以阻止攻击。这种有意包含冗余功能的多层次方法可增强整个系统的安保，并化解各种各样的攻击向量。深度防御通常被称为“堡垒方法”，因为它反映了中世纪堡垒的分层防御。入侵者需要突破壕沟、城墙、吊桥、塔台、城垛等层层阻碍，才能攻克堡垒。

外部参考资 料
 

British Standards 10754-1:2018 (Information technology - System trustworthiness)
https://shop.bsigroup.com/ProductDetail?pid=000000000030351844
ISO/IEC TR 24028:2020 Information Technology - Artificial Intelligence Overview of Trustworthiness in Artificial Intelligence
https://www.iso.org/standard/77608.html
NIST Special Publication 800-53, Security and Privacy Controls for Federal Information Systems and Organizations
https://www.nist.gov
NIST Special Publication 800-171, Physical Protection, section 3.10
https://www.nist.gov
NIST Special Publication 800-218, Secure Software Development Framework
https://www.nist.gov

与CMMI赋能安保相关的实践域

数据管理 (DM)
管理安保威胁和漏洞 (MST)
风险与机会管理 (RSK)

与CMMI赋能安保相关的特定背景
 

DevSecOps
 

背景标签：DevSecOps
背景：DevSecOps 是一种思维方式、一种文化和一套实践，可促进开发、运营和安保部门之间的密切合作，从而规划、开发、测试、部署、发布和保持更新 安全的解决方案。
 

DevSecOps 的基本前提是，以实现交付安全产品为目标，团队从一开始且在所有的后续开发工作中将安保实践和人员整合到应用程序开发过程中。安保并非亡羊补牢之举、在开发生命周期结束后的增补措施或一组独立的不相关事件。安保是所有团队成员共同承担的责任。因此，在设计、开发、交付和运营期间，DevSecOps 团队应将安保作为一个关键元素进行整合。例如，团队还应在可行的情况下实现安保测试门禁的自动化，并涵盖开发环境、测试环境和生产环境。像对任何其他重复性任务一样将安保自动化，这对于 DevSecOps 团队的成功至关重要。

CMMI V1.3中，没有对赋能安保（ESEC）过程域的说明