2.3.2 域维/安全过程区
SSE-CMM包括6个基本实施，这些基本实施被组织成11个安全工程过程区，这些过程区覆盖了安全工程所有主要领域。安全过程区的设计是为了满足安全工程组织广泛的需求。划分安全工程过程区的方法有许多种。典型的做法之一就是将实际的安全工程服务模型化，即原型法，以此创建与安全工程服务相一致的过程区。其他的方法可以是识别概念域，它们将识别的这些域形成相应的基本安全工程构件模块。SSE-CMM当前的过程区集合是这些执行目标竞争比较的折中。
每一个过程区包括一组表示组织成功执行过程区的目标，每一个过程区也包括一组集成的基本实施（BP，Base Practice），基本实施定义了获得过程区目标的必要步骤。
一个过程区：
●汇集一个域中的相关活动，以便于使用。
●就是有关有价值的安全工程服务。
●可在整个组织生命期中应用。
●能在多个组织和多个产品范围内实现。
●能作为一个独立过程进行改进。
●能够由类似过程兴趣组进行改进。
●包括所有需要满足过程区目标的BP。
由于一些本质相同的活动有不同的名字，因此识别安全工程的BP变得很复杂。一些识别BP的活动是在生命期后期进行的，在不同抽象层次或由不同角色的个人来执行。SSE-CMM忽略这些差别，而只是识别基本的、好的安全工程所需要的实施集。
因此，如果一个组织仅仅在设计阶段或在单一抽象层上工作，则不“执行”BP。
基本实施的特性包括：
●应用于整个企业生命期。
●和其他BP互相不覆盖。
●代表安全业界“最好的实施”。
●不是简单地反映当前技术。
●可在业务环境下以多种方法使用。
●不指定特定的方法或工具。
由基本实施组成的11个安全工程过程区列举如下。安全工程过程是信息安全服务能力最核心的部分，体现着一个服务提供组织的技术水平和信息安全工程的实力。SSE-CMM共有11个安全工程过程。
（1）安全工程过程
①管理安全控制
其目的在于保证集成到系统设计中的预期的系统安全性确实由最终系统在运行状态下达到。包括四个方面：明确安全职责、管理安全配置、管理培训教材、管理安全服务及控制机制。
②评估影响
目的在于识别对系统有关的影响，并对发生影响的可能性进行评估。影响可能是有形的，也可能是无形的。应对影响系统的因素进行优先级排序并实时监控影响的变化。
③评估安全风险
识别某一给定环境中涉及到对某一系统有依赖关系的安全风险，评估暴露的风险，对风险进行优先级排序并监视风险的变化特征。
④评估威胁
目的是对系统安全的威胁和特征进行识别并标识，评估威胁的影响，并监视威胁的特征变化。
SSE-CMM将安全工程的公共特征分为五个能力级别，表示依次递增的组织能力。
⑤评估脆弱性
本过程首先要识别脆弱性，收集相关证据，然后评估各种脆弱性对系统的影响，进而监视脆弱性的特征变化趋势。
⑥建立保证论据
本过程包括确定保证目标、定义保证策略、提供保证证据、控制保证论据等多个方面。
⑦协调安全
目的在于保证所有相关方都有参与安全工程的意识。这种协调工作涉及到保证所有相关组织之间的开放式交流和沟通。
⑧监视安全态势
目的在于识别出所有已发生和可能发生的安全违规，监视可能影响系统安全的内、外环境因素。
⑨提供安全输入
目的在于为系统的策划者、设计者、实施者或用户提供所需的安全信息。这些信息包括安全体系结构、安全设计和安全实施多个方面。
⑩指定安全要求
目的在于明确地识别出与系统安全相关的要求，包括顾客的要求、法律法规的要求等，并最终达成安全协议。
验证和证实安全性
目的在于确保解决安全问题的办法已得到验证和证实。应该确定目标、选择方法、收集证据、执行验证并得到结论。
SSE-CMM还包括11个与项目和组织实施有关的过程区，这些过程区是从SE-CMM修改过来的。项目和组织管理过程是实现安全工程过程必不可少的保证措施。
（2）项目和组织管理过程
①质量保证
它不仅指工作产品的质量，而且也包含系统工程过程的质量。应确保全员参与并及时采取纠正措施和预防措施。
②管理配置
目的是维持已确定的配置单元的数据和状况，并对系统及其配置单元的变化进行分析和控制。管理系统配置包括为开发者和客户提供准确的和当前的配置数据和状况。
③管理项目风险
管理风险的目的是标识、评估、监视和降低风险。此过程要贯穿整个工程生命周期，其范围包括系统工程活动和全部技术项目活动。
④监控技术活动
此过程将根据项目策划、承诺和计划的文档来指导、跟踪和复查项目的完成情况、结果和风险，必要时采取适当的修正行为。
⑤规划技术活动
目的是根据项目特点建立项目实施计划，这些计划能为组织开展技术活动提供指导和参考。
⑥定义系统工程过程
目的是创建和管理组织的标准系统工程过程，这些过程允许根据具体系统工程情况做出适当的裁减。
⑦改进系统工程过程
在特定的工程环境下，根据组织对过程的理解，确定改进目标并付诸实施。
⑧产品持续改进
目的是通过引进服务、设备和新技术以达到产品、费用、进度和执行的最佳收益。
⑨管理系统工程支持环境
目的在为开发产品和执行过程提供所需的技术环境。该环境可裁减、可维护、可更新、可监视、可改进。
⑩提供不断发展的技能和知识
目的在于确保组织内拥有必要的知识和技能来达到组织的目标。此过程可以通过在组织内进行培训，也可以及时地从外部来源中获得知识。
与供应商协调
目的是识别组织的需求，并采取适当的措施评价、选择合格的供应商。供应商可以是销售商、分包商、合伙人等。协调的内容可以是交付件的质量、期限等其他合同要求。
免责声明：以上内容源自网络，版权归原作者所有，如有侵犯您的原创版权请告知，我们将尽快删除相关内容。
