22、基于COTS的开发与安全成本估算

基于COTS的开发与安全成本估算

1. 基于COTS开发项目的评估

在基于COTS（Commercial Off - The - Shelf，商用现货）的开发项目中，协商许可证和管理供应商关系是关键环节。以下是相关的成功标准及可观察的工件表现：
| 成功标准 | 可在工件中观察到的表现 |
| — | — |
| 各方的角色和职责明确界定 | 供应商和采购组织的角色与职责在合同中明确规定 |
| 定义的供应商关系管理方法形成“双赢”伙伴关系 | 关键供应商关系的责任得到分配并获管理层认可；与供应商建立了对项目成功有相互激励作用的合同和非合同关系 |
| 合同工具足够灵活以应对预计风险 | 具备针对市场或产品变化进行额外或变更资源分配的机制 |
| 激励供应商提供长期支持 | 合同中存在促使供应商紧跟技术发展、改进和维护系统架构等的激励措施 |

项目管理者、工程师和供应商需要协同工作。管理者要与工程师和供应商合作，形成并选择最佳解决方案，并确保该方案在系统生命周期内持续可行；工程师需识别使用COTS产品的机会，并应对由此给项目带来的初始不确定性；供应商应被鼓励寻找更好的与项目合作的方式，并为此获得奖励。通过项目工件中的信息，项目管理者可以评估组织在多大程度上接受了成功构建和维护基于COTS系统所需的业务和工程变革。这些标准也有助于评估项目进度，判断项目何时准备好完成一个重要里程碑。

2. COTS软件安全成本估算的背景

随着软件工程界在系统中越来越多地集成COTS软件，安全问题变得愈发重要。企业担心在集成和使用大量商业组件时，关键业务会受到干扰。例如，商业操作系统中的间谍软件使非授权方能够收集个人或