●王艳玮，王 娟（陕西师范大学 国际商学院，西安 710062）

科学的信息安全评估标准是信息安全测评认证的基础。英国标准协会和贸工部BSI/DISC的BDD/2信息安全管理委员会制定的BS7799是目前世界上应用最广泛与最典型的安全管理标准，其围绕风险评估从管理和技术两方面建立了一整套信息安全评估体系。BS7799 分为 BS7799-1［1］和 BS7799-2 两部分，［2］已经被国际标准化组织ISO采纳，成为ISO/IEC27000系列信息安全标准族的主要标准之一。

SSE-CMM成为许多国家政府、军队和要害部门组织和实施安全工程的通用方法，是系统安全工程领域里成熟的方法体系，在理论研究和实际应用方面具有举足轻重的作用，同时也被国际标准化组织采用，成为ISO/IEC DIS 21827标准。

本文通过对BS7799和SSE-CMM进行对比研究，一方面可以更好地学习理解标准，为我国标准制定提供借鉴意义；另一方面可以优势互补，将二者结合起来开发高确信度信息安全产品或系统的开发方法。

1 标准的概述

1.1 BS7799

BS7799［3］由英国标准协会 （British Standards Institute，BSI） 于1995年颁布，分为两部分。BS7799-1是信息安全管理实施细则，主要提供了信息安全最佳实践的汇总集，最初从10个方面定义了127项控制措施。BS7799-1几经改版，最终转化为ISO/IEC17799：2005，2007年编号改为ISO/IEC27002，其内容也增加到11个方面的133项控制措施。BS7799-2是建立信息安全管理体系（ISMS）的管理要求和规范，指导相关人员如何去应用BS7799-1。BS7799-2规定了组织基于PDCA模型建立、实施、运行、监视、评审、保持和改进ISMS的总要求及相关文件要求，并规定了在这个过程中的管理职责和管理评审要求。

1.2 SSE-CMM

系统安全工程能力成熟度模型（SSE-CMM，Systems Security Engineer Capability Maturity Model）［4］是一种面向工程过程，衡量系统安全工程实施能力的方法。……