Сертификация программных продуктов

ЦЕЛИ И ОСНОВНЫЕ ПРИНЦИПЫ СЕРТИФИКАЦИИ ПРОГРАМНЫХ ПРОДУКТОВ
Стандарт ISO/IEC 00002 – Общие термины и определения в области стандартизации и смежных видов деятельности
– сертификация соответствия - действие третьей стороны, доказывающее, что обеспечивается необходимая уверенность в том, что должным образом идентифицированная продукция, процесс или услуга соответствует конкретному стандарту или другому нормативному документу.
Сертификат соответствия – документ, изданный в соответствии с правилами системы сертификации, удостоверяющий, что обеспечивается необходимая уверенность в том, что должным образом идентифицированная продукция, процесс или услуга соответствует конкретным стандартам или другим нормативным документам.

Цель сертификации – защита интересов пользователей, государственных и ведомственных интересов на основе контроля качества продукции.
Проведение сертификации систем качества предприятия обычно планируется для достижения одной или нескольких целей:
определения соответствия или несоответствия элементов системы качества установленным требованиям производства;
определения эффективности внедренной системы качества предприятия с точки зрения соответствия поставленным целям для обеспечения качества продукции;
обеспечения возможности предприятию улучшить свою систему качества;
определения соответствия системы качества производства регламентирующим требованиям.

При анализе и организации процессов сертификационных испытаний технологий и/или объектов системы и комплекса программ следует учитывать ряд базовых компонентов методологии сертификации, подлежащих рассмотрению, применению и утверждению для конкретного проекта :
цели сертификации – правовые, экономические, формальные;
проблемы, которые необходимо решать для обеспечения высокой эффективности и достоверности результатов сертификационных испытаний;
исходные данные и документы, необходимые для проведения сертификации: стандарты и нормативные документы;
характеристики и классификацию продуктов и/или процессов сертификации и их показатели качества;
ресурсы обеспечения испытаний – финансовые, кадры специалистов, их аппаратурная оснащенность, нормативные и инструментальные средства.

Сертификация может быть обязательной или добровольной.
Обязательная сертификация необходима для программных продуктов и их производства, выполняющих особо ответственные функции, в которых недостаточное качество, ошибки или отказы могут нанести большой ущерб или опасны для жизни и здоровья людей.
заказчик (потребитель) программного продукта для получения гарантий качества и безопасности продукта
Заинтересованные стороны
Заказчик (как заявитель) может обратиться к сертификационной лаборатории на выполнение испытаний, участвовать в формулировании требуемых показателей и в контроле их измерений при испытаниях. Он финансирует испытания и получает сертификат соответствия при положительных результатах. цена продукта
разработчик ДОЛЖЕН устранить выявленные недостатки

Необходимость проведения обязательной сертификации, как правило, определяет заказчик или потребитель программного продукта для получения формальных гарантий достижения производителем заданных значений показателей качества и безопасности продукта. Он же может выступать в качестве заявителя при обращении к сертификационной лаборатории на выполнение испытаний, а также участвовать в формулировании требуемых показателей и в контроле их измерений при испытаниях. Соответственно заявитель финансирует испытания и получает документы, регистрирующие их результаты, в том числе сертификат соответствия при положительных результатах. В конечном итоге эти затраты отражаются на цене продукта, однако они первоначально вкладываются заказчиком или потребителем как дополнительная часть стоимости создания заказанного продукта. Роль разработчика состоит в устранении выявленных недостатков для достижения заданного требованиями уровня качества и безопасности.

Добровольная сертификация применяется для повышения конкурентоспособности продукции, расширения сферы ее использования и получения дополнительных экономических преимуществ.
Например:
большие тиражи изделий при производстве,
большая длительность жизненного цикла с множеством версий,
снижение налогов за высокое качество,
увеличение прибыли разработчиков и поставщиков ПП.
Результаты сертификации должны оправдывать затраты на ее проведение
сертификационным испытаниям подвергаются
компоненты операционных систем
пакеты прикладных программ широкого применения

разработчик или поставщик
При положительных результатах заявитель получает сертификат соответствия, который использует для рекламы продукции при взаимодействии с потенциальными пользователями или потребителями.
Заинтересованные стороны

Стандартизация и сертификация как основа для обеспечения качества и безопасности программных продуктов
Решение о выдаче сертификата на технологию, систему обеспечения качества и/или программный продукт должно основываться на оценке соответствия действующим и/или специально разработанным документам:
международным и государственным стандартам на технологии создания ПС, их системы обеспечения качества и конкретную продукцию;
стандартам на сопровождающую программный продукт документацию с учетом необходимости и достаточности номенклатуры документов;

нормативным и эксплуатационным документам на конкретный программный продукт – техническим условиям, техническим описаниям, спецификациям требований и другим регламентирующим документам;
действующим международным и национальным стандартам на тестирование, испытания, аттестацию программ.
В исходных нормативных документах должны быть все функциональные и эксплуатационные характеристики, обеспечивающие заказчику и пользователям возможность корректного применения сертифицированного продукта во всем многообразии его функций и показателей качества.

При сертификации обычно руководствуются основными исходными требованиями заказчика:
утвержденным заказчиком и согласованным с разработчиком техническим заданием и/или спецификацией требований к продукту, а также утвержденным комплектом эксплуатационной документации на комплекс программ и его компоненты, а также на систему обеспечения их качества;
действующими международными, государственными и ведомственными стандартами на проектирование и испытания программ, а также на техническую документацию производства и продукции;
программой испытаний по всем требованиям технического задания и положениям эксплуатационной документации;
методиками испытаний по каждому разделу требований технического задания и документации.

Программа испытаний, методики их проведения и оценки результатов, разработанные совместно разработчиком и заказчиком при участии специалистов по сертификации, должны быть согласованы и утверждены. Они должны содержать уточнения требований технического задания и документации для проверяемых продуктов и/или процессов, должны гарантировать корректную проверку заданных характеристик.
Ресурсы для сертификации программных средств и систем качества должны выделяться в зависимости от характеристик объекта сертификации или процесса.
Сложность комплексов программ, доступные ресурсы - косвенные факторами, влияющие на выбор методов испытаний и на достигаемое их качество.
Пример ресурсов, используемых при испытаниях: допустимые временные и финансовые затраты или сметная стоимость сертификации.

Угрозы качеству в процессе производства программных продуктов:
низкое технологическое качество производства компонентов и комплекса программ;
недостаточно эффективные средства защиты информационных и программных ресурсов;
несоответствие реальных и заявляемых функциональных характеристик разрабатываемых программ;
несоответствие требованиям стандартов, влекущее за собой невозможность взаимодействия, совершенствования и развития систем;
реализованные алгоритмы обработки информации, неспособны обеспечить в течение жизненного цикла ПС надежное и своевременное представление полной, безошибочной, актуальной и конфиденциальной информации для функционального использования.

Угрозы качеству в процессе эксплуатации программных продуктов
ошибки и неадекватные действия обслуживающего персонала
и пользователей программного продукта при подготовке и использовании информации, выполнении технологических операций;
несанкционированный доступ пользователей к системе, ее
информационным и программным ресурсам;
проникновения и активизации компьютерной вирусной инфекции;
уничтожения, разрушения или хищения средств обработки
информации, оригиналов и дубликатов носителей информации, программных или аппаратных ключей и средств защиты информации;
перехват информации, навязывание заведомо недостоверной
информации, умышленные перегрузки каналов связи и вычислительных ресурсов

Следствие угроз:
отказ от адекватного выполнения функции согласно штатному режиму функционирования комплексом программ;
выполнение программным продуктом непредусмотренных действий;
блокировка доступа к информационным и программным ресурсам;
разрушение технических средств, нарушение целостности и сохранности программных ресурсов;
уничтожение, искажение, подмена, ухудшение уровня полноты, достоверности и конфиденциальности информационных ресурсов и программного продукта.

Качество функционирования программного продукта - совокупность свойств, гарантирующих его пригодность в течении жизненного цикла обеспечивать надежное и своевременное представление полной, достоверной и конфиденциальной информации для ее последующего целевого использования.
При этом качество функционирования продукта подразумевает:
- адекватное заданным требованиям представление выходной информации для использования
- выполнение функциональных технологических операций и наличие технических возможностей ПС к взаимодействию, совершенствованию и развитию.

Принципы промышленной сертификации и стандартизации процессов производства и продуктов
Сертификация – это стандартизированный, апробированный механизм целенаправленных регламентированных испытаний производства и продуктов, должна быть в максимальной степени ориентирована на противодействие различным угрозам и нейтрализацию негативных последствий их реализации.
Вне зависимости от угроз ПО высокого качества должно являться гарантией безопасности применения всей системы

Принципы промышленной сертификации:
применение системных мер, направленных на обеспечение конечного качества функционирования программного продукта;
анализ функциональной и экономической целесообразности внедрения сертификации комплексов программ в процессы создания, приемки в эксплуатацию и сопровождения;
соизмеримость осознанного риска при приобретении и эксплуатации не сертифицированных технических и программных средств;
рационального использования нормативных документов, с учетом достигнутого научно-технического технологического уровня производства комплексов программ и методов их испытаний;
приоритетного инвестирования и государственного заказа разработчикам, производящим продукцию высокого качества.

Цели сертификации для заказчиков и разработчиков :
установление достигнутого уровня качества функционирования программного продукта, снижение риска заказчика при задании, разработке и принятии продукта в эксплуатацию, повышение его функциональной безопасности;
обоснование рациональных технологических решений по производству, совершенствованию и развитию комплекса программ на основе квалифицированной экспертизы и испытаний технологии и продуктов;
удовлетворение потребностей рынка в качественной продукции и расширение экспортных возможностей отечественных программных продуктов.

Профиль стандартов – это совокупность нескольких базовых стандартов (и других нормативных документов) с четко определенными и гармонизированными подмножествами обязательных и факультативных возможностей, предназначенная для реализации заданной функции или группы функций. Функциональная характеристика (заданный набор функций) объекта стандартизации является исходной для формирования и применения профиля этого объекта или процесса.
Основными целями применения профилей стандартов при создании, применении и сертификации комплексов программ являются:
снижение трудоемкости, длительности, стоимости и улучшение других технико-экономических показателей проектов систем и комплексов программ;
повышение качества разрабатываемых или применяемых покупных компонентов и комплексов в целом при их разработке, при- обретении, эксплуатации и сопровождении;

обеспечение расширяемости комплексов программ по набору прикладных функций и масштабируемость в зависимости от размерности решаемых задач;
обеспечение переносимости программ и данных между разными аппаратно-программными платформами.
Наиболее часто применяются две схемы организации коллектива специалистов для реализации проектов сложных программных продуктов:
формирование для каждого проекта жесткой организационной структуры коллектива с полным составом необходимых специалистов под единым, централизованным руководством;
выделение руководителя (главного конструктора) и небольшой группы интеграторов, по заданиям которых выполняются частные работы узкими специалистами, не входящими организационно в единый коллектив реализации конкретного проекта.

Первая схема предпочтительна, когда предприятие реализует небольшое число особенно крупных проектов – заказов и имеет возможность для каждого из них скомплектовать полноценную, организационно замкнутую бригаду. Однако при этом возможны простои отдельных специалистов из-за ожидания заданий или результатов последовательных этапов проекта.
Вторая схема для предприятия может иметь преимущества при большом числе относительно небольших проектов, близких по содержанию и функциональному назначению. В этом случае большинство специалистов одновременно участвуют в нескольких проектах по локальным заданиям интеграторов различных проектов, и может использоваться более полно. Однако задачи интеграторов при этом усложняются и требуют более высокой квалификации.