能力
能力域描述了软件开发组织保障各种安全活动所具备的基础设施
安全设计方案与安全开发组件
软件开发组织可以通过安全设计方案和安全开发组件减少研发团队对安全专业知识的依赖，快速实现对研发团队的安全赋能。“安全设计方案与安全开发组件”描述了软件开发组织构建安全开发、安全设计、威胁分析知识库和安全开发组件的能力，“安全设计方案与安全开发组件”的使用可以提升安全开发效率，降低安全开发成本。
第三方组件库管理
软件系统的开发往往会用到大量的开源组件，软件开发组织需要完善流程、加强安全管控，减小第三方组件库的潜在安全风险。“第三方组件库管理”描述了软件开发组织管控开源组件的能力。
标准与要求
“标准与要求”描述了安全活动的标准以及要求是如何定义的。在这个子域中我们对于安全开发流程中可能涉及到的规范标准都做了定义描述。相关实践包括：定义安全需求基线、建立安全编码规范以及定义代码安全审核标准等相关标准和要求。
敏感数据处理
为了保护敏感数据的安全性，软件开发组织需要采取一系列措施，如对敏感数据进行加密、安全传输、安全存储、密钥管理、数据脱敏等，确保敏感数据不被非法获取。加密是保证敏感数据安全性的基本手段，即使加密过的敏感数据被非法泄露到外部，也能保证内容不可读。在此基础上，将加密过后的敏感数据存储在安全的位置，并对密钥进行管理也是保护敏感数据机密性的核心工作，这将直接影响到敏感数据的安全性，因此敏感数据的访问控制和备份以及密钥的生成、存储、分发、更新和销毁，组织都必须予以重视。在数据传输方面，通常采用HTTPS或TLS等安全协议，以确保数据在传输过程中不被窃取或篡改。数据脱敏可以在保证数据可用性的前提下，隐藏或部分显示敏感数据，以保护个人隐私和数据安全。鉴于敏感数据安全处理需要从多个方面进行考虑，组织应该综合实现敏感数据从生成、传输、存储到使用的完整安全处理流程。
