「資訊安全國家標準草案之研擬」計畫之軟體處理評估分項計畫...

1 中華民國電腦稽核協會

「資訊安全國家標準草案之研擬」計畫「資訊安全國家標準草案之研擬」計畫之之

軟體處理評估分項計畫軟體處理評估分項計畫

主講者：吳林全先生主講者：吳林全先生E-mail : [email protected] : [email protected]


簡介簡介 ISO 12207 — ISO 12207 — 軟體生命週期之程序軟體生命週期之程序 ISO 15504 — ISO 15504 — 軟體程序評鑑軟體程序評鑑結語與討論結語與討論

簡報大綱簡報大綱


簡介簡介


IT IT 安全之階層化示意安全之階層化示意

管理面(ISO 17799)

產品面(ISO 15408)

程序面(ISO 15504)


「資訊安全國家標準草案之研擬」計畫「資訊安全國家標準草案之研擬」計畫

軟體程序評鑑分項計畫 ( 計畫主持人：劉燦雄博士 )

資訊安全產品驗證分項計畫

資訊安全管理驗證分項計畫

資訊安全管理認證程序分項計畫

資訊安全機制標準規範實作研擬分項計畫


軟體程序評估分項計畫成果軟體程序評估分項計畫成果軟體生命週期之程序

符合 IEEE/EIA P12207.0 之我國國家標準草案符合 IEEE/EIA P12207.1 之我國國家標準草案符合 IEEE/EIA P12207.2 之我國國家標準草案

軟體程序評鑑符合 ISO/IEC TR 15504-1 之我國國家標準草案符合 ISO/IEC TR 15504-2 之我國國家標準草案符合 ISO/IEC TR 15504-3 之我國國家標準草案符合 ISO/IEC TR 15504-4 之我國國家標準草案符合 ISO/IEC TR 15504-5 之我國國家標準草案符合 ISO/IEC TR 15504-6 之我國國家標準草案符合 ISO/IEC TR 15504-7 之我國國家標準草案符合 ISO/IEC TR 15504-8 之我國國家標準草案符合 ISO/IEC TR 15504-9 之我國國家標準草案

系統及軟體完整性等級符合 ISO/IEC 15026 之我國國家標準草案


緣由緣由軟體開發工作的複雜性甚高，大部分情況會發生

錯誤而只有少許的機會能正確運作無誤瞭解軟體開發時所涉及的程序種類，以及根據某

些指標來評估所使用程序的成熟度，可利用評估後的結果來改善軟體的品質，以提昇系統和產品的安全性及可靠度。

若能遵循某種程序、規則或綱要指引，則：吾人可使用相似的方法來解決類似的問題吾人總是能知道下一步如何進行吾人能累積經驗以改進方法軟體開發工作將是可確定軟體開發工作能被控管


ISO/IEEE 12207ISO/IEEE 12207

軟體生命週期之程序軟體生命週期之程序


程序的種類程序的種類

主要生命週期程序(Primary)

1. 客戶及供應者 2. 工程技術

支援生命週期程序(Supporting)

組織生命週期程序(Organizational)

1. 管理 2. 組織


主要主要生命週期程序 (Primary)

主要生命週期程序

CUS.4 運作

CUS.2 供應

ENG.1 開發

CUS.3 需用抽離

運作利用顧客支援

CUS.1 需用需用準備供應商選取供應商監督顧客接受度

系統需求分析及設計軟體整合軟體需求分析軟體測試

軟體設計系統整合軟體建構及測試

ENG.2 系統及軟體維護


支援生命週期程序 (Supporting)支援生命週期程序

SUP.1 文件

SUP.5 驗核

SUP.4 驗證

SUP.3 品質保證

SUP.2 組態管理

SUP.7 稽核

SUP.6 聯合檢視

SUP.8 問題解析


組織生命週期程序 (Organizational)

組織生命週期程序

MAN.1 管理

MAN.4 風險管理

MAN.3 品質管理

MAN.2 專案管理

ORG.1 組織安排

ORG.2 改善程序建立程序評鑑程序改善

ORG.3 人力資源管理

ORG.4 基礎架構

ORG.1 量測

ORG.1 再利用


ISO 12207 ISO 12207 定義的所有程序定義的所有程序程序種類

共有 249 項基本實務

顧客與供應者CUS.1 取得

(3)CUS.1.1 取得籌備(4)CUS.1.2 選擇供應商(3)CUS.1.3 監督供應商(4)CUS.1.4 顧客接受度(2)

CUS.2 供應(5)

CUS.3 需求抽取(6)

CUS.4 運作(3)CUS.4.1 運作使用(8)CUS.4.2 顧客支援(5)

顧客與供應者CUS.1 取得

(3)CUS.1.1 取得籌備(4)CUS.1.2 選擇供應商(3)CUS.1.3 監督供應商(4)CUS.1.4 顧客接受度(2)

CUS.2 供應(5)

CUS.3 需求抽取(6)

CUS.4 運作(3)CUS.4.1 運作使用(8)CUS.4.2 顧客支援(5)

工程技術ENG.1 開發

(4)ENG.1.1 系統需求分析及設計(7)ENG.1.2 軟體需求分析 ) (6)ENG.1.3 軟體設計(5)ENG.1.4 軟體建構(4)ENG.1.5 軟體整合(6)ENG.1.6 軟體測試(4)ENG.1.7 系統整合及測試(8)

ENG.2 系統及軟體維護(7)

工程技術ENG.1 開發

(4)ENG.1.1 系統需求分析及設計(7)ENG.1.2 軟體需求分析 ) (6)ENG.1.3 軟體設計(5)ENG.1.4 軟體建構(4)ENG.1.5 軟體整合(6)ENG.1.6 軟體測試(4)ENG.1.7 系統整合及測試(8)

ENG.2 系統及軟體維護(7)

支援SUP.1 文件說明

(7)SUP.2 組態管理

(9)SUP.3 品質保證

(7)SUP.4 驗證

(4)SUP.5 確認

(4)SUP.6 共同覆審

(8)SUP.7 稽核

(8)SUP.8 問題排除

(6)

支援SUP.1 文件說明

(7)SUP.2 組態管理

(9)SUP.3 品質保證

(7)SUP.4 驗證

(4)SUP.5 確認

(4)SUP.6 共同覆審

(8)SUP.7 稽核

(8)SUP.8 問題排除

(6)

管理MAN.1 管理

(8)MAN.2 專案管理

(12)MAN.3 品質管理

(6)MAN.4 風險管理

(8)

管理MAN.1 管理

(8)MAN.2 專案管理

(12)MAN.3 品質管理

(6)MAN.4 風險管理

(8)

組織ORG.1 組織調整

(5)ORG.2 改善

(4)ORG.2.1 程序建立(9)ORG.2.2 程序評等(10)ORG.2.3 程序改善(9)

ORG.3 人力資源管理(10)

ORG.4 基礎架構(7)

ORG.5 評定(7)

ORG.6 重新使用(7)

組織ORG.1 組織調整

(5)ORG.2 改善

(4)ORG.2.1 程序建立(9)ORG.2.2 程序評等(10)ORG.2.3 程序改善(9)

ORG.3 人力資源管理(10)

ORG.4 基礎架構(7)

ORG.5 評定(7)

ORG.6 重新使用(7)

程序

子程

序基本主要

支援

組織


範例：程序定義範例：程序定義

ENG.1.3 軟體設計 (Software Design) 目的

軟體設計程序的目的係定義適當的軟體設計，以實現其需求條件並可依該需求來進行測試。

結果— 發展一架構性的設計，以說明將實現軟體需求的主要軟體元件；— 定義每一軟體元件的內部和外部介面；— 發展細部的設計，以說明可製作和測試的軟體單元；— 在軟體需求和軟體設計之間建立一致性。

備註細部的設計包括軟體單元之間的介面規格。

purpose

note


ISO 15504ISO 15504

軟體程序評鑑軟體程序評鑑


ISO 15504 ISO 15504 歷史沿革歷史沿革 1987~1989 美國 SEI 開始相關的計畫

1991 美國 SEI 公布能力成熟度模型 (CMM) 1.0 版ISO 成立程序評鑑的工作小組

1993 ISO 著手制訂程序評鑑的國際標準美國 SEI 公布能力成熟度模型 (CMM) 1.

1 版

1995 ISO 公布 SPICE 草案標準

1996 ISO 公布 SPICE 2.0 版

1998 ISO 公布 15504 技術報告

2001 ISO 預計定案及公布 15504 標準 (?)


SPICE SPICE 計畫計畫

計畫目標：滿足軟對評鑑軟體程序能力日益增加的要求

提供組織良好的程序評鑑架構

統合現有的軟體程序評鑑及改善之模型與方法


ISO/IEC TR 15504ISO/IEC TR 15504 標準由來：

1998 年由 ISO/IEC/JTC1 SC7 WG10 負責將 SPICE V2 轉換成軟體程序評鑑的國際標準

內容：程序評鑑勝任評鑑員的培訓程序能力判定持續程序改善

特性：牽涉廣泛

包括軟體的獲取、供應、發展、操作、維護及支援等工作程序模組化

允許選取個別的程序來進行評鑑每個評鑑後的程序會獲得一個能力的標度 (scale)


實施實施 ISO 15504 ISO 15504 的好處的好處

對需用者而言能提供：判定軟體供應者程序之現有或潛在的能力

對供應者而言能提供：判定本身軟體程序之現有或潛在的能力定義軟體程序改善之範圍及優先次序定義軟體程序改善之準則及架構

對評鑑員而言能提供：實施程序評鑑的一致性架構


ISO 15504 ISO 15504 各冊的內容各冊的內容

第七冊

程序改善指導綱要

第八冊判定供應者程序能力指導綱要

第六冊評鑑員資格指導

綱要

第一冊

觀念和入門指引

第九冊

詞彙

第三冊

執行評鑑

第二冊程序和程序能力的

參考模型

第四冊

執行評鑑指南

第五冊評鑑模型和指標

指引


軟體程序評鑑各組成元件之關係軟體程序評鑑各組成元件之關係

程序維度能力維度相互對應關係

參考模型

評鑑

程序細節

第三及第四冊

第二冊第六冊

程序改善

能力判定

第七冊

第八冊

相容的評鑑模型

第二冊

第四及第五冊

表示成用來

用來

模型相容性的驗核


參考模型與評鑑模型之關連性參考模型與評鑑模型之關連性

評鑑方法( 超出 ISO 15504 範圍)

評鑑模型( )第五冊

參考模型( )第二冊


評鑑模型評鑑模型 vs. vs. 參考模型參考模型

評鑑指標

能力維度

程序能力指標管理實務

實務績效特性資源及

基礎建設特性

程序維度

程序績效指標

基本實務

工作產出及其特性

參考模型( )第二冊

程序種類程序

(具有程序目的)之定義

能力等級程序屬性

評鑑模型( )第五冊


程序之參考模型程序之參考模型

生命週期程序

CUS ENGSUP MAN ORG

. ..程序

種類

程序維度

等級名稱屬性 5 最佳化程序程序變更屬性持續改善屬性

4 可預測程序

程序測定屬性

程序管制屬性

3 已建立程序

程序定義屬性

程序資源屬性

2 已管理程序效能管理屬性工作產出管理屬性

1 已執行程序

程序效能屬性 0 未完成程序

能力維度

相互對應


程序之評鑑模型程序之評鑑模型

利用二維圖形來表示程序及程序能力程序程序 (Process)(Process) 面向面向

程序種類程序種類 ((Process CategoriesProcess Categories))

程序 (P1, …, Pn)

能力能力 (Capability)(Capability) 面向面向能力等級能力等級 (CL1, …, CL5)(CL1, …, CL5)

程序之能力屬性 (Attributes)

程序經評鑑後會獲得一個能力等級之評估結果

CL5CL4CL3CL2CL1CL0CL0

CUS.1 CUS.2...ORG.6

CL1CL2CL3CL4CL5


軟體程序評鑑軟體程序評鑑

程序

能力判定程序改善

程序評鑑確認風險及能力

促使促使

確認變更

經由

激發


程序評鑑之流程程序評鑑之流程

程序評鑑

評鑑作業‧規劃‧資料收集‧資料驗證‧程序分級‧報告

評鑑輸入資料‧評鑑目的‧評鑑範圍‧評鑑限制條件‧評鑑職責‧所收集的額外資料

評鑑輸出資料‧ 評鑑記錄

從程序改善或程序能力

進行程序改善或程序能力判定

相容評鑑模型

指標組‧程序績效指標‧程序能力指標

參考模型‧程序目的‧程序屬性


Level 0 : Level 0 : 未完成程序未完成程序 (Incomplete)(Incomplete)

定義：未實作該程序，或是實作了該程序但未能達到其目的。

證據：欠缺可證實達成目的之工作產出。


Level 1 : Level 1 : 已執行程序已執行程序 (Performed)(Performed)

定義：已經達到程序目的，但該成果可能未詳細規畫和追蹤。

證據：具有可證實達成目的之工作產出。


Level 2 : Level 2 : 已管理程序已管理程序 (Managed)(Managed)

定義：程序經詳細計畫和追蹤並依規定程序交出工作產出，且其必須符合規定的標準和需求條件。

證據：程序能在既定時間內，利用所需資源交付可接受的工作產出品質。


Level 3 : Level 3 : 已建置程序已建置程序 (Established)(Established)

定義：使用基於良好軟體工程方法之既定程序來加以執行和管理。

證據：使用能夠達成其程序結果的既定程序 (defined process) 。


Level 4 : Level 4 : 可預測程序可預測程序 (Predictable)(Predictable)

定義：既定程序在實務上係一致地在所定義的控管範圍內執行，以達成其既定的程序目標。

證據：對程序能力以量化來表示，並能預測及管理已改善的能力。故一致地在所定義的限制中執行，以達成既定的程序結果。


Level 5 :Level 5 : 最佳化程序最佳化程序 (Optimizing)(Optimizing)

定義：所實作的程序可達到重複性，以符合其所定義的業務目標，並建置量化的程序有效性 (effectiveness) 和效率 (efficiency) 的績效目標。

證據：導入創新的理論和技術，以及變更非有效的程序，可動態變更和調整，以有效地符合目前和未來的業務目標。


程序屬性及能力等級程序屬性及能力等級Level 5 最佳化

PA.5.1 程序變更PA.5.2 持續改善

Level 5 最佳化PA.5.1 程序變更PA.5.2 持續改善

Level 4 可預測PA.4.1 評定PA.4.2 程序控制

Level 4 可預測PA.4.1 評定PA.4.2 程序控制

Level 3 已建置PA.3.1 程序定義PA.3.2 程序資源

Level 3 已建置PA.3.1 程序定義PA.3.2 程序資源

Level 2 已管理PA.2.1 效能管理PA.2.2 工作產出管理

Level 2 已管理PA.2.1 效能管理PA.2.2 工作產出管理

Level 1 已執行PA.1.1 程序效能

Level 1 已執行PA.1.1 程序效能

Level 0 未完成Level 0 未完成未完成 (Incomplete) 效能及結果都是不完整且凌亂的程序

已執行 (Performed)程序直覺地執行而輸入與輸出的工作產出皆可用

已管理 (Managed)程序及工作產出受管理且能歸屬責任

可預測 (Predictable)量測單位致使程序效能及結果可控制

最佳化 (Optimising)對持續改善的程序作量化評定

已建置 (Established)修改預先定義的程序供特殊用途且資源受到管理


能力判定之流程能力判定之流程

程序評鑑

程序能力判定

能力報告書

目標物之範圍目標物之能力

評鑑模型程序目的程序屬性程序績效指標程序能力指標

評鑑輸入資料評鑑主辦者評鑑目的評鑑限制條件評鑑職責額外欲收集資料

特殊需求

提議能力已確認評鑑輸出資料評鑑記錄


程序指標程序指標 vs. vs. 能力等級能力等級

程序維度

程序種類和程序

程序績效指標： ‧基本實務 ‧工作產出 WP‧ 特性

能力維度

能力等級和程序屬性

程序能力指標： ‧管理實務 ‧實務績效特性 /‧資源基礎架構特性

1第級：程序績效?‧有助於程序目標

? ?‧存在適當的

2 5第至級：程序能力?‧程序能力的證據

?‧證實程序屬性 {


程序屬性的標度程序屬性的標度


程序的能力等級程序的能力等級

標度(Scale) 程序屬性(Process Attributes) 分級(Rating)

Level 1 程序績效(Process Performance) Largely or Fully

Level 2 程序績效(Process Performance) 績效管理(Performance Management) 工作產出管理(Work Product Management)

Fully Largely or Fully Largely or Fully

Level 3

程序績效(Process Performance) 績效管理(Performance Management) 工作產出管理(Work Product Management) 程序定義和修改(Process Definition and Tailoring) 程序資源(Process Resource)

Fully Fully Fully Largely or Fully Largely or Fully

Level 4

程序績效(Process Performance) 績效管理(Performance Management) 工作產出管理(Work Product Management) 程序定義和修改(Process Definition and Tailoring) 程序資源(Process Resource) 程序測量(Process Measurement) 程序控制(Process Control)

Fully Fully Fully Fully Fully Largely or Fully Largely or Fully

Level 5

程序績效(Process Performance) 績效管理(Performance Management) 工作產出管理(Work Product Management) 程序定義和修改(Process Definition and Tailoring) 程序資源(Process Resource) 程序測量(Process Measurement) 程序控制(Process Control) 程序變更(Process Change) 持續改善(Continuous Improvement)

Fully Fully Fully Fully Fully Fully Fully Largely or Fully Largely or Fully


範例：程序評鑑範例：程序評鑑目標：欲對客戶在開發軟體的需求程序進行評鑑可能選取的實作程序為：

CUS.2 供應 CUS.3 需求引出 CUS.4.2 客戶支援程序 ENG.1.1 系統需求及設計 ENG.1.2 軟體需求分析 SUP.1 文件製作

工作內容：訪談專案經理及相關的軟體發展人員檢視合約內容、軟體需求規格、使用者需求描述及變更請求記錄

等文件


範例：程序評鑑範例：程序評鑑 (( 續續 ))

能力判定的步驟：檢查每個程序的基本實務以確定此程序為已執行程序 (Level 1) 每個程序皆會得到 N, P, L 或 F 其中之一的標度若其標度為 N 或 P ，則執行此程序的能力為 Level 0 若標度為 L 或 F ，則此程序可能具備更高能力等級的屬性

CL5CL4CL3CL2CL1CL0CL0

CUS.2 CUS.3 ... SUP.1

CL1CL2CL3CL4CL5


依程序屬性來表示評鑑結果依程序屬性來表示評鑑結果


評鑑後的程序能力等級評鑑後的程序能力等級


程序改善之流程程序改善之流程

程序評鑑

評鑑輸出資料‧ 評鑑記錄

程序改善

軟體程序改善需求

組織需要和業務目標

獲自程序能力判定的目標能力總則

工業規範和基準

驗證和認可改善

程序評鑑要求

評鑑模型程序目的程序屬性程序績效指標程序能力指標

評鑑輸入資料評鑑主辦者評鑑目的評鑑限制條件評鑑職責額外欲收集資料


程序改善所需的時間程序改善所需的時間

Level 1 → Level 2 Level 2 → Level 3

75% 3.5 years 2 yearsAverage 2.x years 1.5 years

資料來源： SEI 1999 “Process Maturity Profile of Software Community”


結語及討論結語及討論


結語結語

Bruce Schneier : 「「 Security is a process, not a Security is a process, not a productproduct 」」

標準化的軟體程序評鑑架構及方法，有助於加速軟體工業的蓬勃發展及提升軟體的品質


參考文獻參考文獻 ISO/IEC 12207 Series Standard, 1995 ISO/IEC 15504 Series Standard, 1998 K. El Emam and D. Goldenson, “An Empirical Review of Sof

tware Process Assessment”, 2000 K. El Emam and H.W. Jung, “An Empirical Evaluation of the

ISO/IEC 15504 Assessment Model”, 2000 K. El Emam and A. Birk, “Validating the ISO/IEC 15504 Me

asure of Software Requirement Analysis Process Capability”, 1999

K. El Emam, “The Internal Consistency of the ISO/IEC 15504 Software Process Capability Scale”, 1995

Steve McConnell, “After the Gold Rush”, 1999


討論討論

Any question ?

「資訊安全國家標準草案之研擬」計畫 之 軟體處理評估分項計畫...

Documents

「資訊安全國家標準草案之研擬」計畫之軟體處理評估分項計畫...