基于CMMI-ACQ的信息技术和服务安全采购模型  

Secure acquisition model for information technology and service based on CMM-ACQ

作　　者：杜晶[1,2] 王青[1] 王宗[3] 

机构地区：[1]中国科学院软件研究所互联网软件技术实验室,北京100190 [2]中国科学院研究生院,北京100049 [3]重庆市公安局,重庆401147

出　　处：《清华大学学报（自然科学版）》2009年第S2期2149-2156,共8页Journal of Tsinghua University(Science and Technology)

基　　金：国家自然科学基金资助项目(60573082,60873072,60803023);国家“八六三”高技术项目(2006AA01Z182,2007AA010303);国家“九七三”重点基础研究项目(2007CB310802)

摘　　要：目前对于信息技术和服务采购组织而言仍缺乏有效的安全采购过程实践指南。该文提出了一种基于CMMI-ACQ的安全采购模型SAMEC,以CMMI-ACQ模型的组织形式和模型内容作为基础,考虑采购过程中可能存在的安全隐患及ISO27000安全标准的要求,在信息技术和服务的采购过程中分别扩展出相应的安全目标和实践。最后从过程的角度分析了利用该模型如何对对文献中的典型安全问题或风险等进行了问题解决和风险规避,可知SAMEC模型能够帮助组织进行安全的信息技术和服务采购从而保证采购成功地完成。There is lack of effective guidelines on how to safety do acquisitions of other companies.This paper presents a secure acquisition model,SAMEC,based on the CMMI-ACQ model which analyses potential security vulnerabilities in the acquisition process and the criteria in the ISO27000 standard for security goals in the acquisition process to provide practical security guidelines for companies doing acquisitions.Finally,the process point of view is used to analyze how to solve problems and avoid risks associate with acquisitions.Thus,the model can be used to help companies safely acquire information technology and services.

关 键 词：软件工程 软件采购 安全性 模型 采购过程管理 

分 类 号：TP311.52[自动化与计算机技术—计算机软件与理论]