通用標準（ISO 15408）指定了評估IT產品而不是供應商資格的標準。
-通用標準評估
FOCI（外國所有權，控制權和影響力）
FOCI（外國所有權，控制權和影響力）是常見的法規要求，例如32 CFR§2004.34和4.30.30。在加拿大的外國所有權，控制權或影響力。CFR是美國聯邦法規（Code of Federal Regulations）的首字母縮寫。
CMMI（能力成熟度模型集成）
作為收單方，您可以通過有效地使用從供應商的CMMI-DEV的開發計劃中獲得的信息，從供應商的CMMI-DEV的使用中受益，並避免與不切實際的期望相關的陷阱。（Osiecki）
“ CMMI可以使用兩種不同的方法進行評估：分階段和連續。分階段方法得出的評估結果是五個成熟度級別之一。連續方法產生四個能力級別之一。” （維基百科）
-CMM和CMMI成熟度級別比較
OWASP SAMM（軟件保障成熟度模型）
鑑於ISACA收購了CMMI Institute，並且材料擁有版權，因此OWASP的SAMM（軟件保證成熟度模型）是一個開放項目。
-SAMM模型結構
參考
. 外國所有權控製或影響：FOCI補充數據表
. CMMI：國防部的觀點
. 什麼是CMMI？優化開發流程的模型
. 了解和利用供應商的CMMI®努力：收購者指南（V1.3修訂版）
資料來源： Wentz Wu QOTD-20210218
PS:此文章經過作者同意刊登 並且授權可以翻譯成中文
