5、软件安全标准中的证据管理与安全论证

软件安全标准中的证据管理与安全论证

在软件安全领域，尤其是对于大型软件项目，如何有效管理安全证据以及构建合理的安全论证是至关重要的问题。下面我们将深入探讨相关的关键要点。

1. CAP 670/SW01 标准

CAP 670/SW01（CAA 2003）为空中交通服务（ATS）设备的软件保证设定了监管目标。它不仅明确了目标，还提供了关于如何证明符合（强制性）安全目标的非强制性指导。虽然其范围仅限于软件，但满足其要求（即安全目标）的证明可用于支持系统安全案例。

SW01 有五个安全目标，采用建设性方法来确保安全。从需求出发，要求提供关于如何以及在何处实现这些需求的论证和证据。不过，它未规定论证和证据的类型，且表述倾向于证明而非挑战。但有一个目标可能需要采用挑战的方式，即“确保因软件安全需求而实现的功能不会受到软件中其他功能的干扰”。为满足这一目标，部分证明可能是“我们已尽力寻找可能的干扰（即对假设进行严格挑战），但未发现可能干扰软件执行安全功能的因素（即假设未被反驳）”。

在论证需求满足情况时，涉及主要论证和次要论证的概念。主要论证用于证明需求得到满足，次要论证则“弥补主要论证可能存在的不完整性和不确定性”，且“无需完全证明主张，但结果不应与主要论证的结果相矛盾”。然而，它们强调证明需求得到满足，似乎未认识到通过寻找反证进行挑战的重要性。因为一个反证就可能推翻所有支持需求满足的论证和证据。严格搜索但未找到反证虽不能直接证明需求得到满足，但可表明没有可信理由怀疑其满足。

SW01 的指导还引入了保证证据级别（AELs）的概念。AEL（范围为 1 - 5）表示软件安全需求的安全关键程度（5 为最关键），它决定了监管机构所需的最低保证证据集。证据来