软件安全开发能力评估国标即将实施，第三方评估与组织自评如何落地

GB/T 47470-2026《网络安全技术 软件安全开发能力评估准则》已于 2026 年 4 月 30 日发布，将于 2026 年 11 月 1 日正式实施。这是国内首部专门针对软件安全开发能力的推荐性国家标准，确立了「总则、软件安全开发能力要素、评估方法」三大块内容，同时适用于第三方评估机构开展评估，也适用于软件开发组织自身的流程控制与改进。对软件测评机构与软件供应商而言，这意味着一套可分级、可对标、可复用的能力评估基准正在落地。

GB/T 47470 确立的能力评估框架

这部标准把「软件安全开发能力」从过去模糊的「做得安不安全」拆成了一套可度量的模型。依据国家标准全文公开系统公开的标准信息，GB/T 47470-2026 由全国网络安全标准化技术委员会归口，由中国信息安全测评中心牵头、联合中国软件评测中心等三十余家测评机构与厂商起草。

标准正文的结构可以分为三段：总则给出安全开发的定义与能力评估模型；软件安全开发能力要素把能力逐层拆解为过程、过程域、基本实践三个层次；评估方法则规定分级评估与评估结果的形成方式。

国家标准全文公开系统对该标准「范围」的表述是：

“本文件确立了软件安全开发能力评估准则，包括总则、软件安全开发能力要素、评估方法。本文件适用于第三方评估机构对组织的软件安全开发能力进行评估，也适用于组织保障软件自身安全的过程控制与改进。”

这段「双重适用」的表述，是理解这部标准落点的一把钥匙——它既给「做评估的第三方」提供准则依据，也给「被评估的组织」提供自评与改进的标尺。

软件安全开发能力的层级拆解：安全过程、过程域与五级等级

标准把软件安全开发能力做了一次完整的分层建模，判断一家组织的安全开发能力到哪个水平，看的是三个逐级细化的层次。

安全过程是一级拆解。软件开发侧包括安全需求分析、安全技术实现、安全测试、安全发布、安全维护五个过程；组织管理侧包括安全治理、开发支持、安全度量与改进三个过程，共同构成八个安全过程，覆盖软件从需求到退役的生存周期。

安全过程域是下一级拆解。每个安全过程再细化为若干过程域，每个过程域由名称、目标和一组输出活动构成，把高层次的「过程」落成可执行、可检验的单元，共二十个过程域。

能力等级是再下一级。能力等级从低到高逐级演进，每一级都在前一级基础上增加新的活动特征：从「初步执行」到「有计划执行」，再到「体系化执行」「量化控制」与「持续优化」。等级越高，软件安全目标的可预见性、过程的可控制性与执行的有效性越强。

软件安全开发能力评估对谁适用？第三方评估与组织自评的边界

这部标准值得注意的设计，是它同时覆盖两类主体，但两者的使用方式并不相同。下表把差异拆开看。

对第三方测评机构来说，这部标准补齐了一个长期空缺：过去针对软件产品有安全测评、针对供应链有 GB/T 43698-2024、针对开源代码有 GB/T 43848-2024，但「一家组织有没有能力安全地开发软件」缺少统一国标基准。GB/T 47470-2026 把这块空白补上，使测评机构多了一类可交付的评估服务。

标准落地前要备齐的四项准备

无论组织打算自评，还是委托第三方做评估，2026 年 11 月 1 日之后要把能力「讲清楚、评得动」，需要提前备齐四项基础。

准备一：把安全过程映射到自身开发流程

对照 8 个安全过程，把自家 SDLC 的每个环节（需求、设计、编码、测试、发布、运维）逐一对应，先识别「哪些环节有制度、哪些环节有工具、哪些环节有度量」，找出缺口。

准备二：建立过程证据与度量的留痕机制

评估看的不只是「有没有做」，更是「能不能拿出可追溯的证据」。过程记录、缺陷率、漏洞发现率、修复时效等度量数据要能当场提供证据链，而不是评估前突击整理。

准备三：沉淀可复用的安全资产

高等级能力对「资产复用」「量化改进」有明确要求。安全设计模板、安全编码规范、规则库、自动化工具链这些可复用资产，是拉开能力等级差距的关键。

准备四：明确自评与第三方评估的路径

先判断自身诉求：仅用于内部改进，可走自评路径；需要对外交付结论、支撑投标或进入大客户供应链，则委托具备资质的第三方测评机构出具评估报告。

软件测评机构如何承接安全开发能力评估需求

对第三方软件测评机构而言，GB/T 47470-2026 带来的是新服务入口，而不是简单的「加一个测试项」。安全开发能力评估不同于传统的功能或性能测试，它评估的是「组织的过程能力」，需要把安全开发活动做成客观、可重复、可重现的模型化描述。

这种「过程能力」视角，与机构已经积累的代码审计、安全测试能力天然衔接。例如尚拓云测为哈尔滨新光光电执行的 XN486 红外探测装置控制软件代码审计 项目，就依据 GB/T 25000.51-2016 与 GJB/Z 141-2004 标准，对该装置控制软件的信息系统代码安全方面开展代码审计——这正是「安全技术实现」「安全测试」两个安全过程在具体项目上的落地形态。随着新国标实施，这类单点安全测试能力可以进一步上升为对组织整体安全开发能力的分级评估。

对机构而言，行动方向是明确的：先把 8 个安全过程、20 个过程域、五级能力等级吃透，再结合既有的代码审计、安全测试、供应链安全评估能力，形成一套「能力评估 + 过程整改」的组合服务，帮助软件供应商在关基采购、信创选型、客户尽调等场景中拿出有据可依的能力结论。

软件安全开发能力评估常见疑问（FAQ）

GB/T 47470-2026 是强制实施的吗？

该标准是推荐性国家标准，本身不设行政处罚，约束力主要来自采购端、招标方或关基运营者将其引用为供应商能力评估依据，对志在进入关基、信创供应链的组织而言，实际是「被引用即变相约束」。

标准实施后，软件供应商多久评估一次合适？

标准未规定强制周期。从实践看，组织宜在开发流程重大调整或完成一轮能力整改后重新评估；若用于投标或客户尽调，通常以委托方要求的有效期为准。

委托第三方做一次能力评估费用大致在什么区间？

费用与组织规模、软件复杂度、评估等级目标及是否需现场取证直接相关，无法给出统一报价，通常需依据评估范围与过程域覆盖数量先做需求确认后再报价。

依据标准：GB/T 47470-2026《网络安全技术 软件安全开发能力评估准则》｜审核日期：2026-10-29