软件开发已外包，安全工作只等交付时验收够吗？

正确答案 B

合同说明要达到什么要求，最终验收检查交付结果，都不能单独替代开发期间的安全活动管理。教材要求指导、监控和评审外包开发相关活动，选B。

先别急着批评合同。本题已经说安全要求写清了，缺口出在开发期间只看功能进度。一个登录模块按时做完，并不能说明身份校验、异常处理等安全要求都已落实。若把相关问题全部留到最后发现，可能还要回头修改已经联调的接口。项目组应按约定检查必要的开发安全活动和证据，发现偏差就跟踪处理，再把这些过程信息与最终验收联系起来。这里的指导、监控和评审，不等于采购方替供应商写代码，也不意味着每个项目都必须驻场逐行审查源码；具体安排应与工作范围、风险和约定相适应。A看的是功能完成情况，D处理的是成果权利，两者重要但不回答本题的监督缺口。C把最终检查做得更细仍有价值，却保留了题干明确指出的过程空白。记住这一点：把开发工作交出去，不是把对外包开发的安全管理活动一并取消。

选项分析

A

功能进度能反映交付推进情况，不能据此推定开发安全要求、相应活动和问题处理已经落实。

B

覆盖开发期间的指导、监控和评审，并跟踪偏差处理，直接补足只在末期检查结果的缺口。

C

提高最终抽检比例可以加强交付检查，但没有补充开发期间的管理，不能单独解决题干问题。

D

知识产权归属与安全监督的对象不同，补清成果权利不等于开发安全活动已经受到适当管理。

再巩固一步

• 读到“已经外包”，分三处核对：合同要求、实施过程、交付结果。题目缺哪一处，就补哪一处，不要一看到外包就重复选签合同。