当今社会信息系统安全问题至关重要,必须认真解决,它涉及到策略和技术两个方面.所谓策略,其实质是一种基础性的研究工作,目的是把信息系统的安全问题上升到工程的高度来解决,从而为具体环节的改善和技术应用提供指导.系统安全工程能力成熟模型（SSE-CMM）就是从工程的角度对安全问题进行深刻剖析,为组织从根本上解决安全问题提供指导.该文在SSE-CMM模型的基础上对安全度量进行深入的分析和研究,并结合一个具体的软件开发过程来说明安全度量实施的具体实施细节和应注意的问题.该文首先通过对国内外信息安全发展的分析,指出中国在信息安全领域与国外仍然存在较大差距,同时指出要从根本上解决信息安全问题,不能只注重技术领域的研究,必须从工程的角度来解决.对系统安全工程能力成熟模型的基本思想、模型结构和内容进行了简要的介绍.在应用SSE-CMM过程中,经常会遇到这样一个问题：我们如何知道如果应用了这些过程会得到一个更安全的系统或操作能力？为回答此问题,该文以度量为基本原则对这个问题从两个不同观点来进行阐述.这种度量被划分为“过程度量”和“安全度量”.然后该文讨论了度量的定义和发展以及如何对它进行分组和识别.总结出了可以使安全度量计划失败的十个常见误区以及如何建立一个安全度量计划.接着介绍了安全度量实施内容包括建立基础结构和执行项目衡量周期.基础结构描述所需度量以及如何收集和使用,项目衡量周期描述在公司内将度量计划的基础结构应用于具体项目所要遵循的方法.最后该文给出一个实例分析使读者对安全度量有一个更加清晰的认识.