买方用ISSE-CMM判断供应者能力，属于哪类组织的应用？

正确答案 A

买方为采购决策判断供应者能力，是获取组织的应用；供应者检查自己的工程能力，是工程组织的应用。认证组织履行认证评估职责时对应评估组织，选A。

这里最容易被“判断能力”带去选C，但先看是谁为了什么在判断。买方为了选服务提供者而判断，是获取组织使用模型；集成商或服务商检查自己的工程能力，是工程组织的自评；专门开展认证、授权或系统产品评估的组织，则可在相应评估职责下使用模型。同一家机构在不同活动中可能承担不同角色，本题已限定它作为买方，所以A最直接。模型提供的是过程能力方面的判断依据，不是买方看过一张等级表，就能保证某个产品绝无漏洞、某次交付必然成功。实际采购还需核对能力证据是否与所购服务和评估范围相关，不能只用公司名气或一个标签替代判断。

选项分析

A

作为买方获取外部服务，并据模型判断供应者能力，正对应获取组织支持采购决策的用途。

B

服务商为改进自己的工程能力开展自评，是工程组织的应用，不因它提供服务就成为获取组织。

C

认证组织按认证职责评估被评方，属于评估组织的应用；这里不是自己实施安全工程。

D

系统集成商检查自身工程能力，对应工程组织；有自评动作不等于在履行专门评估职责。

再巩固一步

• 按“我在做工程、我在买服务、我在履行评估职责”区分模型使用角色，同一机构不必永远只有一种身份。