DB50_T 1809-2025 软件供应链安全技术评价指南.docxVIP

1

ICS35.040CCSL80

DB50

重庆市地方标准

DB50/T1809—2025

软件供应链安全技术评价指南

2025-07-07发布2025-10-07实施

重庆市市场监督管理局发布

I

DB50/T1809—2025

目次

前言 III

1范围 1

2规范性引用文件 1

3术语和定义 1

4缩略语 1

5概述 2

5.1评价过程 2

5.2风险框架 2

5.3评价模块 2

5.4评价工作风险规避 3

6评价准备阶段 3

6.1一般条件 3

6.2工作过程 4

6.3主要工作任务 4

6.4输入/输出文档 5

7方案编制阶段 6

7.1一般条件 6

7.2工作过程 6

7.3主要工作任务 7

7.4输入/输出文档 8

8评价实施阶段 8

8.1一般条件 8

8.2工作过程 9

8.3主要工作任务 9

8.4输入/输出文档 10

9报告总结阶段 10

9.1一般条件 11

9.2工作过程 11

9.3主要工作任务 11

9.4输入/输出文档 12

附录A（资料性）软件供应链安全技术评价活动流程 13

附录B（资料性）软件供应链技术安全风险 14

附录C（资料性）软件供应链安全技术评价要素 18

II

DB50/T1809—2025

附录D（规范性）范围与目标确认表 22

附录E（规范性）开源组件及源代码调研表 23

附录F（资料性）初步评价对象列表 25

附录G（资料性）主要源代码静态分析技术 27

附录H（资料性）软件供应链安全评价方案 29

附录I（资料性）评价依据 31

附录J（资料性）软件供应链安全评价报告 32

参考文献 34

DB50/T1809—2025

III

前言

本文件按照GB/T1.1—2020《标准化工作导则第1部分：标准化文件的结构和起草规则》的规定起草。

请注意本文件的某些内容可能涉及专利。本文件的发布机构不承担识别专利的责任。

本文件由中共重庆市委网络安全和信息化委员会办公室提出、归口并组织实施。

本文件起草单位：数盾奇安（重庆）科技有限公司、重庆市质量和标准化研究院、工业和信息化部网络安全产业发展中心（工业和信息化部信息中心）、中共重庆市委网络安全和信息化委员会办公室、重庆市地矿测绘院有限公司、重庆西算大数据有限公司、重庆市互联网新闻研究中心、重庆若可网络安全测评技术有限公司、中兴通讯股份有限公司、重庆市璧山区党政信息中心、重庆兴农融资担保集团有限公司、先进操作系统创新中心（天津）有限公司、重庆依企莱科技发展有限公司、重庆数字城市科技有限公司、西南大学、重庆邮电大学、重庆理工大学、重庆交通大学、重庆中医药学院、重庆倍得林企业管理咨询有限公司、重庆恒扬禾信息技术有限公司、中国汽车工程研究院股份有限公司、中国烟草总公司重庆市公司、重庆三峡银行股份有限公司、马上消费金融股份有限公司、重庆奇安信科技有限公司、重庆市中冉数字科技有限公司。

本文件主要起草人：陈震宇、张彬哲、魏振国、郭威、李吉音、赵东、高二金、张波、毛艳、李蒙、马渊、李坪芮、王旭钢、王婷、陶永沛、何秋跃、胡涛、姜敏、黄建洪、高巍、王欢欢、陈雨阳、殷玲玲、杨先赟、雷剑梅、范开伟、宋海燕、刘家鑫、缪如燕、蒋洪志、韩熙、李宁、王悠悠、舒坤贤、刘颖、米波、卢军、唐明、杨秀峰、田进、冯欣、周洋、张力、陈阔、马培月、颜洁、王慧维、王梦洲、陈青扬。

DB50/T1809—2025

1

软件供应链安全技术评价指南

1范围

本文件提供了软件供应链安全技术评价工作的指导，给出了安全技术评价的概述、准备阶段、方案编制阶段、实施阶段和报告总结阶段的相关信息。

本文件适用于软件规划设计、开发实施及其运行维护过程中的安全技术评价工作，可为第三方机构开展软件供应链安全技术测评或测试提供依据。

2规范性引用文件

下列文件中的内容通过文中的规范性引用而构成本文件必不可少的条款。其中，注日期的引用文件，仅该日期对应的版本适用于本文件；不注日期的引用文件，其必威体育精装版版本（包括所有的修改单）适用于本文件。