GBT 47470-2026 网络安全技术 软件安全开发能力评估准则标准立项发展报告

网络安全技术软件安全开发能力评估准则StandardizationDevelopmentReport:CybersecurityTechnology—AssessmentCriteriaforSoftwareSecurityDevelopmentCapability摘要随着网络空间安全形势日益严峻，软件供应链安全漏洞已成为网络攻击的主要突破口。为系统化提升我国软件安全开发水平，规范软件安全开发能力评估方法，国家标准《网络安全技术软件安全开发能力评估准则》（GB/T47470-2026）正式立项并发布。该标准由全国网络安全标准化技术委员会归口管理，由中国电子技术标准化研究院联合多家企事业单位共同起草，将于2026年11月1日起正式实施。本标准基于GB/T32421-2015《信息安全技术软件安全开发安全框架》及相关行业实践，构建了涵盖安全开发管理、安全需求分析、安全设计、安全编码、安全测试、安全部署与运维等多维度的能力评估框架。标准明确了评估指标体系、评估流程、评估方法及结果判定要求，规定了软件安全开发能力等级划分的准则，适用于软件开发商、第三方测评机构及行业主管部门开展能力评估与监督管理工作。本标准的发布实施将有效填补我国在软件安全开发能力评估领域国家标准的空白，为软件产业安全能力建设提供标准化指引，为关键信息基础设施保护提供有力支撑，对提升我国软件供应链整体安全水平具有重要的现实意义和深远战略价值。关键词：软件安全开发；能力评估；网络安全；标准；评估准则；软件供应链安全AbstractAscybersecuritythreatsbecomeincreasinglysevere,vulnerabilitiesinthesoftwaresupplychainhaveemergedastheprimaryattackvectorsexploitedbyadversaries.TosystematicallyenhanceChina'ssoftwaresecuritydevelopmentpracticesandstandardizecapabilityassessmentmethodologies,thenationalstandard*CybersecurityTechnology—AssessmentCriteriaforSoftwareSecurityDevelopmentCapability*(GB/T47470-2026)hasbeenformallydevelopedandreleased.ThestandardisadministeredbytheNationalCybersecurityStandardizationTechnicalCommitteeandjointlydraftedbytheChinaElectronicsStandardizationInstitutealongwithmultipleenterprisesandinstitutions,withtheimplementationdatescheduledforNovember1,2026.BasedonGB/T32421-2015"InformationSecurityTechnology—SecurityFrameworkforSoftwareSecurityDevelopment"andrelevantindustrypractices,thisstandardestablishesamultidimensionalcapabilityassessmentframeworkcoveringsecuritydevelopmentmanagement,securityrequirementsanalysis,securedesign,securecoding,securitytesting,andsecuredeploymentandoperations.Itspecifiestheevaluationindicatorsystem,assessmentprocedures,evaluationmethods,andresultdeterminationrequirements,anddefinestheclassificationcriteriaforsoftwaresecuritydevelopmentcapabilitylevels.Thestandardappliestosoftwaredevelopers,third-partyevaluationinstitutions,andindustryregulatoryauthoritiesconductingcapabilityassessmentsandsupervision.ThereleaseandimplementationofthisstandardwilleffectivelyfillthegapinnationalstandardsforsoftwaresecuritydevelopmentcapabilityassessmentinChina.Itprovidesstandardizedguidanceforsecuritycapabilitybuildingwithinthesoftwareindustryandoffersrobustsupportfortheprotectionofcriticalinformationinfrastructure,demonstratingsignificantpracticalvalueandfar-reachingstrategicimportanceforenhancingtheoverallsecuritylevelofChina'ssoftwaresupplychain.Keywords:softwaresecuritydevelopment;capabilityassessment;cybersecurity;standard;assessmentcriteria;softwaresupplychainsecurity一、引言1.1研究背景随着数字经济的蓬勃发展，软件已成为支撑国民经济和社会运行的关键基础设施。然而，软件自身的安全缺陷和开发流程中的安全管理漏洞，持续导致重大网络安全事件频发。近年来，全球范围内因软件供应链攻击造成的数据泄露、勒索软件入侵等安全事件呈指数级增长态势。在此背景下，单纯依赖事后安全检测已无法满足日益严峻的安全需求，从软件开发生命周期源头上系统化融入安全控制，已成为行业共识。我国高度重视软件安全开发标准化工作。2015年，GB/T32421-2015《信息安全技术软件安全开发安全框架》发布实施，首次在国家标准层面提出了软件安全开发的顶层框架。然而，该标准着重于安全开发过程的基本要求与框架指导，在能力评估的指标体系、评估方法及等级划分方面有待进一步细化和定量化，无法满足当前软件产业对安全能力分级分类管理和第三方评估认证的实际需求。1.2编制必要性当前我国软件安全开发能力评估面临如下突出问题：一是缺乏统一的评估指标体系，各测评机构在评估依据、评估深度和评估结论判定上存在显著差异；二是缺乏科学的能力等级划分方法，难以对不同软件开发组织的能力水平进行横向比较和梯度化管理；三是评估流程和评估方法不统一，评估结果的公信力和可比性不足。上述问题迫切需要通过制定专门的评估准则类国家标准予以解决。1.3标准定位本标准作为软件安全开发领域的评估准则类标准，定位于对组织或项目的软件安全开发能力进行系统性、规范化的评估。标准的适用对象包括：软件开发商和软件开发组织（用于自评估和持续改进）、第三方测评机构（用于外部评估和认证）、行业主管和监管部门（用于监督管理和能力分级）。本标准与GB/T32421-2015形成配套衔接关系，前者规定"如何做"，后者规范"如何评估做得怎么样"。1.4编制原则本标准的编制遵循以下原则：一是科学性原则，评估指标体系的构建基于软件安全工程成熟度模型和软件安全开发生命周期理论；二是可操作性原则，每项评估要素均规定了明确的评估要点和判定依据，确保评估活动可落地执行；三是适用性原则，充分考虑到不同类型和规模的软件开发组织实际差异，在指标体系设计上兼顾全面性与灵活性。二、标准编制过程概述2.1起草阶段标准编制组系统收集和分析了国内外相关标准和最佳实践。国际方面，重点参考了ISO/IEC27034系列标准（应用安全）、BSIMM（软件安全构建成熟度模型）、OWASPSAMM（软件保证成熟度模型）以及NISTSSDF（安全软件开发框架）等国际上具有广泛影响力的模型和标准。国内方面，紧密结合GB/T32421-2015、GB/T22239-2019《信息安全技术网络安全等级保护基本要求》、GB/T25070-2019《信息安全技术网络安全等级保护安全设计技术要求》等标准的要求。2.2意见征求与审查在标准起草过程中，编制组通过实地调研、专家咨询、公开征求意见等多种渠道广泛收集意见建议。标准草案经过多轮修改完善，经全国网络安全标准化技术委员会组织专家审查后，顺利通过技术审查。2.3发布与实施安排该标准于2026年4月30日由国家标准化管理部门正式发布，标准编号为GB/T47470-2026。考虑到标准实施涉及评估工具开发、评估人员培训、评估流程对接等多项准备工作，标准设置了约六个月的过渡期，将于2026年11月1日起正式实施。三、标准主要内容3.1标准范围与适用对象本标准规定了软件安全开发能力评估的总体框架、评估指标体系、评估流程、评估方法和能力等级划分要求。标准适用于各类软件产品和软件的开发商或开发组织对其安全开发能力的自评估，也适用于第三方测评机构开展的独立评估，同时可供行业主管部门在安全监管和能力准入等工作中参考使用。需要特别说明的是，标准不适用于单一软件产品安全质量（即"产品安全测试结果"）的评价，而是聚焦于开发组织的过程能力。3.2规范性引用与术语定义标准在第2章列出规范性引用文件，包括GB/T32421-2015、GB/T25069-2022《信息安全技术术语》、GB/T22239-2019等核心基础标准。在第3章中对"软件安全开发能力""安全开发过程域""评估指标体系""能力等级"等关键术语和定义进行统一界定。3.3评估指标体系标准核心内容（第5章至第7章）规定了评估指标体系。评估指标体系按"能力域—能力子域—评估要素"三个层级展开。标准设置的评估指标涵盖以下方面：a)安全开发管理。该能力域评估组织在安全策略与规程、安全组织与责任、安全培训与技能、安全风险管理、第三方安全管理等方面的管理能力水平。b)安全需求分析。该能力域评估在安全需求识别、威胁建模分析、安全需求评审与确认、安全需求可追溯性管理等方面的能力水平。c)安全设计。该能力域评估在安全架构设计、攻击面分析、不安全设计模式规避、安全设计评审等方面的综合能力。d)安全编码。该能力域评估在遵循安全编码规范、源代码安全审查、静态分析工具应用、已知漏洞组件管理（SBOM管理）等方面的实际能力。e)安全测试。该能力域评估在安全测试计划制定、动态安全测试（DAST）、渗透测试、模糊测试、安全回归测试等方面的测试能力。f)安全部署与运维。该能力域评估在安全配置与加固、部署环境安全、运行时安全监控与响应、漏洞管理与安全补丁更新、安全事件应急响应等方面的能力。以上各能力域均设定了不同权重和评分细则。3.4评估流程与方法标准规定的评估流程包括评估准备（确定评估目的与范围、组建评估组）、评估实施（文档审阅、人员访谈、工具检测、现场核查）、评分与等级判定、评估报告编制等完整环节。标准对评估人员资质和能力要求作了明确规定，并要求在现场评估中应根据组织规模、项目重要程度合理确定抽样策略和样本量，以保证评估结果的代表性。3.5能力等级划分标准将软件安全开发能力划分为五个等级，分别为：一级（初始级）、二级（已定义级）、三级（已管理级）、四级（已量化管理级）、五级（持续优化级）。其中一级到五级逐级递进，涵盖了从安全开发过程未建立到安全开发能力持续优化的完整演进路径。等级判定综合各能力域得分和总体得分确定。四、主要起草单位介绍本标准由全国网络安全标准化技术委员会（TC260）提出并归口管理，联合国内在网络安全与软件安全领域具有深厚技术积累和丰富实践经验的企事业单位共同起草。中国电子技术标准化研究院作为本标准的牵头起草单位之一，发挥了核心主导作用。该研究院是工业和信息化部直属事业单位，是我国电子信息技术领域权威的国家级标准化专业研究机构，长期承担电子信息技术标准化的基础研究、标准制修订、标准试验验证及推广应用等工作。研究院在全国网络安全标准化技术委员会中承担多项重要职务，深度参与了GB/T32421-2015、GB/T22239-2019等网络安全核心国家标准的制修订工作，在网络安全标准化领域积累了丰富的理论研究成果和工程实践经验。在本标准编制过程中，中国电子技术标准化研究院牵头完成了标准框架设计、核心技术指标拟定、行业调研组织及标准文本统稿等工作。此外，本标准还凝聚了多家单位的力量：国家信息技术安全研究中心在安全测试和漏洞分析领域提供了权威技术支持；中国信息安全测评中心作为国家信息安全测评认证机构，为评估方法和等级判定机制的合理性提供了充分实践反馈；北京航空航天大学等高校团队在软件安全工程理论模型构建和验证方面贡献了学术力量。多家代表性安全企业如奇安信科技集团股份有限公司、华为技术有限公司、深信服科技股份有限公司、启明星辰信息技术集团股份有限公司等，结合各自在安全开发工具链、云原生安全、DevSecOps实践等方面的丰富一线经验，为标准的技术指标设置和实用性优化提供了实践依据。五、标准实施意义与前景展望5.1实施意义本标准的发布实施，其意义是多方面的。在产业引导层面，标准的实施有助于推动软件开发商系统化建立和持续改进安全开发体系，引导企业从源头控制和降低软件安全风险。在评估认证层面，统一的能力评估准则为第三方测评机构开展软件安全开发能力评估提供了权威依据，提高了评估结果的科学性和可比性。在监督管理层面，为行业主管部门提供了有效的管理抓手和量化评价工具，支撑重点行业软件供应链安全管理。在国际接轨层面，标准借鉴了国际上主流的安全开发成熟度模型的核心思想，有利于我国软件安全开发能力的国际对标与合作互认。5.2未来展望展望未来，GB/T47470-2026的落地实施将从多个维度推动软件安全生态的深刻变革。预计在标准实施后的一至三年内，将有一批重点行业和关键领域的软件开发商率先依据本标准开展能力评估和等级认证，形成示范效应。与此同时，配套的评估工具和自动化评估平台也将逐步成熟，推动评估效率与准确性持续提升。随着数字经济的持续深化和网络安全法律的不断完善，软件安全开发能力评估有望逐步在政府采购、关键信息基础设施运营者供应商准入、网络安全审查等制度场景中发挥重要支撑作用。六、结论GB/T47470-2026《网络安全技术软件安全开发能力评估准则》是我国软件安全开发标准化体系建设的一项重要成果。该标准紧密围绕我国网络安全工作的实际需求，在充分借鉴国内外成熟经验的基础上，构建了一套科学、