CISSP考点拾遗——SDLC（1）

说明：“考点拾遗”系列基于日常为学员和网友做的答疑整理，主要涉及教材中没有完全覆盖到的知识点。

关于SDLC软件开发生命周期（也作系统开发生命周期）的描述，在CBK、OSG、AIO几本常用教材中的描述居然都不一样，坑啊~~

CBK当中也说“There are many SDLC models available with different names for each phase, though they execute roughly the same steps in logical order. 存在很多SDLC模型，它们的各个阶段有不同的名称，尽管它们以逻辑顺序执行大致相同的步骤。”

不过CBK中所描述的5个阶段与NIST SP 800-64所定义的5个阶段基本吻合，并且从OPT和考古痕迹来看，考试中用的就是这一套。

SDLC阶段		各阶段的典型安全活动
CBK定义	NIST定义
Initiation    启动（初始）	Initiation  and Design    启动和设计	机构确定对新的或修订的系统的需求，并记录其目的。 安全规划，首先确定在系统开发阶段要执行的关键安全活动。 对将要处理、传输或存储的信息进行安全需求评估，所有利益相关者应对安全考虑事项有共同的理解。 确定系统授权官员(AO)，即最终负责验收签字，允许系统上线的人。 在这个阶段理解安全需求对于安全的有效集成至关重要。
Development    开发	Development/Acquisition    开发/采购	系统开发人员应执行初始的功能和安全测试，准备初始的系统和安全文档，并建立系统的安全体系结构。 选择适当安全控制和保障要求，满足最低安全要求。 制定系统安全计划（SSP），描述已经或将要如何为系统提供安全控制。 获得用于提供支持的资产和服务。
Deployment  &  delivery    部署和交付	Implementation    实施	系统所有者负责配置和启用系统安全功能，并对系统进行安全控制评估(SCA)。 审查和验证SCA结果，记录行动计划和里程碑列表。 系统所有者签署ATO（Authorization  to Operate授权运行决定） 系统授权官员(AO)审查最终的SA&A(System Assessment and  Authorization系统评估和授权)包，并决定是否授权系统运行。 注意，A&A(Assessment and  Authorization评估和授权，新)等同于C&A(certification  & accreditation认证与认可，旧)，两种说法在当前考试中都有可能出现！
Operations  &  maintenance    运营和维护	Operations  & Maintenance    运营和维护	系统生命周期中最长的阶段。 定期审查和评估安全控制措施，以确保它们继续有效运行，并满足预期的安全目标。 配置管理和变更管理。 ISCM信息安全持续监控。 监控和评估中发现的弱点，需要由系统所有者加以解决，并在系统的操作和维护项目计划和预算中进行规划。 注意，SDLC可以随着用户需求的发展而迭代，所以像变更管理这样的关键过程可能会启动另一轮开发活动！
Disposal    处置（废弃）	Disposal/Retirement    处置（废弃）/退役	系统所有者必须制定计划，安全合法地归档和/或废弃系统信息、硬件和软件，并可能将信息和资源转移到新系统。 归档信息时，组织应考虑未来检索的需求和方法。 废弃资产时需遵循保留和净化策略。