135 lines
3.7 KiB
Markdown
135 lines
3.7 KiB
Markdown
# Software Assurance Maturity Model (SAMM)
|
|
|
|
> **SAMM (Software Assurance Maturity Model)** — 一个开源框架，用于评估、制定和改进软件安全保障策略，覆盖软件开发生命周期全流程。
|
|
|
|
## Definition
|
|
|
|
SAMM 由 OWASP 维护，是一个供应商中立、可定制的安全框架：
|
|
|
|
- 评估组织软件安全保障成熟度
|
|
- 定义安全改进路线图
|
|
- 展示安全活动的价值
|
|
|
|
## SAMM Core Structure
|
|
|
|
### 4 Business Functions
|
|
|
|
| 函数 | 描述 | 涵盖活动 |
|
|
|------|------|---------|
|
|
| **Governance** | 安全治理和管理 | 策略、标准、指南、培训 |
|
|
| **Construction** | 软件构建 | 安全需求、设计、编码 |
|
|
| **Verification** | 软件验证 | 评审、测试、漏洞管理 |
|
|
| **Deployment** | 软件部署 | 运营、托管、发布管理 |
|
|
|
|
### 3 Security Practices per Function
|
|
|
|
```
|
|
Governance:
|
|
├── Strategy & Metrics
|
|
├── Policy & Compliance
|
|
└── Education & Guidance
|
|
|
|
Construction:
|
|
├── Secure Requirements
|
|
├── Secure Architecture
|
|
└── Secure Coding
|
|
|
|
Verification:
|
|
├── Threat Assessment
|
|
├── Security Testing
|
|
└── Security Review
|
|
|
|
Deployment:
|
|
├── Secure Environment
|
|
├── Secure Release
|
|
└── Operational Enablement
|
|
```
|
|
|
|
## SAMM Maturity Levels
|
|
|
|
每个实践评估为 0-3 级：
|
|
|
|
| Level | 名称 | 描述 |
|
|
|-------|------|------|
|
|
| **0** | Implicit | 无正式实践 |
|
|
| **1** | Initial | 意识，但 ad-hoc |
|
|
| **2** | Practiced | 正式流程，部分覆盖 |
|
|
| **3** | Comprehensive | 量化管理，完全覆盖 |
|
|
|
|
## Security Activities
|
|
|
|
### Governance
|
|
|
|
| Practice | L1 | L2 | L3 |
|
|
|----------|----|----|----|
|
|
| Strategy & Metrics | 安全指标定义 | 趋势分析 | 目标优化 |
|
|
| Policy & Compliance | 基线政策 | 合规评估 | 持续合规 |
|
|
| Education | 安全意识 | 开发者培训 | 安全冠军计划 |
|
|
|
|
### Construction
|
|
|
|
| Practice | L1 | L2 | L3 |
|
|
|----------|----|----|----|
|
|
| Secure Requirements | 安全需求清单 | 风险驱动需求 | 威胁建模集成 |
|
|
| Secure Architecture | 安全设计原则 | 架构评审 | 安全参考架构 |
|
|
| Secure Coding | 编码标准 | 代码扫描 | 实时分析 |
|
|
|
|
### Verification
|
|
|
|
| Practice | L1 | L2 | L3 |
|
|
|----------|----|----|----|
|
|
| Threat Assessment | 基础威胁识别 | 结构化威胁建模 | 持续威胁分析 |
|
|
| Security Testing | 基本渗透测试 | 自动安全测试 | 交互式测试 |
|
|
| Security Review | 代码审查 | 安全审查清单 | 专家审查 |
|
|
|
|
### Deployment
|
|
|
|
| Practice | L1 | L2 | L3 |
|
|
|----------|----|----|----|
|
|
| Secure Environment | 基础配置 | 配置基线 | 自动化配置管理 |
|
|
| Secure Release | 发布检查 | 签名验证 | 安全发布流程 |
|
|
| Operational Enablement | 运营安全意识 | 安全运维手册 | DevSecOps 集成 |
|
|
|
|
## Assessment Process
|
|
|
|
```
|
|
1. 准备
|
|
├── 利益相关者识别
|
|
└── 信息收集
|
|
|
|
2. 评估
|
|
├── 问卷调查
|
|
├── 文档审查
|
|
└── 访谈
|
|
|
|
3. 分析
|
|
├── 评分计算
|
|
├── 差距分析
|
|
└── 风险评估
|
|
|
|
4. 路线图
|
|
├── 改进计划
|
|
├── 优先级排序
|
|
└── 资源分配
|
|
|
|
5. 实施
|
|
├── 迭代改进
|
|
└── 效果验证
|
|
```
|
|
|
|
## Comparison with Other Models
|
|
|
|
| 模型 | 焦点 | 适用场景 |
|
|
|------|------|---------|
|
|
| **SAMM** | 软件开发生命周期 | SDLC 安全改进 |
|
|
| **BSIMM** | 实际安全活动 | 基准比较 |
|
|
| **OWASP ASVS** | 应用安全验证 | 安全测试标准 |
|
|
| **CSMM** | 云安全 | 云环境安全 |
|
|
|
|
## See Also
|
|
|
|
- [[Cloud Security]] — 云安全
|
|
- [[DevSecOps]] — DevSecOps
|
|
- [[Cloud Maturity Model]] — 云成熟度模型
|
|
- [[CSPM]] — 云安全态势管理
|