5.12　開發商安全測試和評估

5.12.1　一般要求

5.12.1.1　評估內容

詳見GB/T31168－2014中5.12.1的a）、b）、c）、d）和e）。

5.12.1.2　評估方法

5.12.1.2.1 對a）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有要求開發商制定并實施云計算平臺信息系統、組件或服務開發清單中相應安全評估計劃的內容；

——檢查云服務商收到的安全評估計劃，查看開發商是否按要求制定了安全評估計劃。

5.12.1.2.2 對b）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否定義了在單元、集成、系統或回歸測試或評估時應執行的深度和覆蓋面。

5.12.1.2.3 對c）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有要求開發商提供安全評估計劃的實施證明材料和安全評估結果的內容；

——檢查云服務商收到的安全評估計劃、安全評估報告等相關文檔，查看開發商是否按照云服務商定義的深度和覆蓋面執行相應的測試或評估。

5.12.1.2.4 對d）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有要求開發商實施可驗證的缺陷修復過程的內容；

——檢查云服務商收到的缺陷修復報告等相關文檔，查看開發商是否實施了可被驗證的修復過程；

——訪談云服務商的系統安全負責人等相關人員，詢問其缺陷修復過程是否可以被驗證。

5.12.1.2.5 對e）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有要求開發商更正在安全評估過程中發現的脆弱性和不足的內容；

——檢查云服務商收到的安全評估報告、缺陷修復報告等相關記錄，查看開發商是否更正了在安全評估過程中發現的脆弱性和不足。

5.12.2　增強要求

5.12.2.1　評估內容

詳見GB/T31168－2014中5.12.2的a）、b）、c）、d）、e）、f）、g）和h）。

5.12.2.2　評估方法

5.12.2.2.1 對a）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有要求開發商在開發階段使用靜態代碼分析工具識別常見缺陷以及記錄分析結果的內容；

——檢查云服務商收到的缺陷分析報告或記錄等相關文檔，查看開發商是否在開發階段使用靜態代碼分析工具識別常見缺陷。

5.12.2.2.2 對b）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有要求開發商實施威脅和脆弱性分析，并測試或評估已開發完成的信息系統、組件或服務的內容；

——檢查云服務商收到的缺陷分析報告或記錄等相關文檔，查看開發商是否對威脅和脆弱性進行了分析；

——檢查云服務商收到的測試或評估報告，查看開發商是否對已開發完成的系統、組件或服務進行了測試或評估。

5.12.2.2.3.1 對c）中條款1）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否定義了第三方的獨立性準則；是否要求選擇所定義的第三方驗證開發商實施安全評估計劃的正確性以及在安全測試或評估過程中產生的證據；

——檢查云服務商提供的第三方資質證明等相關材料，查看云服務商是否按照所定義的獨立性準則選擇第三方。

5.12.2.2.3.2 對c）中條款2）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有對開發商進行評估時，確保獨立第三方能夠獲得足夠的資料來完成驗證過程，或已被授予獲得此類信息的訪問權限的要求；

——檢查云服務商與第三方簽訂的合同等相關文檔，查看其是否能確保獨立第三方完成驗證過程，或已被授予獲得所需信息的訪問權限；

——訪談系統安全負責人或獨立第三方等相關人員，詢問其獨立第三方對開發商進行安全評估的情況。

5.12.2.2.4 對d）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否定義了人工代碼審查過程、規程或技術，是否定義了特定代碼；是否要求開發商實施人工代碼審查；是否要求開發商提供易于理解的審查結果；是否要求云服務商使用通過開發商審查的代碼可重構系統；

——檢查云服務商收到的人工代碼審查結果，查看開發商是否實施了人工代碼審查；

——訪談云服務商的系統安全負責人或系統開發人員等相關人員，詢問其人工代碼審查情況和系統重構情況。

5.12.2.2.5 對e）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否定義了滲透性測試的約束條件；是否定義了滲透性測試的廣度和深度；是否要求開發商按照所定義的約束條件，執行符合要求的廣度和深度的滲透性測試；

——檢查云服務商收到的滲透性測試報告，查看其是否按照所定義的約束條件以及廣度和深度執行滲透性測試。

5.12.2.2.6 對f）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有要求開發商分析所提供的硬件、軟件和固件容易受到攻擊的脆弱點的內容；

——檢查云服務商收到的脆弱點分析報告等相關文檔，查看開發商是否進行了脆弱點分析。

5.12.2.2.7 對g）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否定義了開發商驗證安全措施測試或評估的廣度和深度，是否要求開發商驗證安全措施測試或評估過程滿足所定義的廣度和深度要求；

——檢查開發商提供的測試或評估報告，查看其是否滿足服務商定義的廣度和深度要求。

5.12.2.2.8對h）的評估方法為：

——檢查系統開發與供應鏈安全策略與規程等相關文檔，查看其是否有要求開發商在開發階段使用動態代碼分析工具識別常見缺陷以及記錄分析結果的內容；

——檢查云服務商收到的缺陷分析報告或記錄等相關文檔，查看開發商是否在開發階段使用動態代碼分析工具識別常見缺陷。