Сертификация информационных систем

1. Основные  понятия и определения.

     Сертификация  – это деятельность определённого  органа (организации), независимого от изготовителя, продавца и потребителя продукции, по подтверждению её соответствия установленным требованиям технических регламентов, положениям стандартов или условиям договоров. Сертификация ИС предполагает удостоверение достигнутого качества и надёжность функционирования ИС.

     С технической точки зрения, качество – это совокупность свойств

продукции, обуславливающих  её способность удовлетворять определённые потребности в соответствии с её назначением. Одним из важнейших компонентов ИС, определяющих ее качество, является программная продукция. Весь объём признаков и характеристик программной продукции, относящийся к её способности удовлетворять потребностям пользователей ИС, определяет качество программного обеспечения (ПО) ИС.

     Такие признаки и характеристики определяют свойства ПО, по

которым его качество описывается и оценивается. К ним относятся:

функциональные возможности, надёжность, практичность, эффективность,

сопровождаемость, мобильность. Каждая из этих характеристик может быть уточнена на множестве уровней комплексных показателей

(подхарактеристик), определяемых с учётом разрабатываемых для этих целей метрик качества. Метрика качества – это количественный масштаб (мера) и метод, которые могут быть использованы для определения значений признаков или характеристик конкретного ПО и последующей оценки уровня качества ИС.

     Уровень качества – это относительная  характеристика, основанная на сравнении совокупности характеристик качества продукции с соответствующей совокупностью базовых характеристик, принимаемых за

исходные (эталонные). Для осуществления такого сравнения используют

ранжирование (действие по отнесению измеренного значения характеристики к соответствующему уровню ранжирования).

     Уровень ранжирования – это диапазон значений характеристики в

масштабе, позволяющем классифицировать (ранжировать) ПО в соответствии с потребностями пользователей и принятыми критериями оценки качества ПО.

     Критерии  оценки качества ПО – это набор  определённых и задокументированных правил и условий, которые используются для решения о приемлемости общего качества конкретного ПО, принимаемого в результате сертификации. При таком положительном решении выдаётся сертификат соответствия установленным требованиям.

     Кроме этого сертифицированная продукция  маркируется знаком соответствия, зарегистрированным в установленном порядке по правилам соответствующей системы сертификации, относящейся к данной группе продукции.

     Орган, возглавляющий систему сертификации однородной продукции, называется центральным органом системы сертификации или центром по сертификации. В его подчинении находятся органы, проводящие сертификацию соответствия, и испытательные лаборатории, проводящие испытания определённой продукции. При объединении этих функций в одном юридическом лице используется термин «сертификационный центр». Эти органы подвергаются периодически аккредитации – процедуре официального признания (соответствующим уполномоченным органом) компетентности и возможности выполнения конкретных работ в заданной области.

     Взаимоотношения между участниками – разработчиками (продавцами), пользователями (покупателями) и органами сертификации и аккредитации, а также их права и обязанности регулируются Законом № 184-ФЗ от 27.12.02 «О техническом регулировании».  
 

2. Основные положения  закона “О техническом  регулировании”

Закон состоит  из 9 глав, которые включают в себя 48 статей:

1. Общие положения.

2.Технические  регламенты.

3. Стандартизация.

4. Подтверждение  соответствия.

5. Аккредитация  органов по аккредитации.

6. Государственный  контроль над соблюдением требований технических регламентов.

7. Информация  о нарушениях требований технических  регламентов и отзыв продукции.

8. Информация  о технических регламентах и  документах по стандартизации.

9. Финансирование  в области технического регулирования. 
 
 
 
 

ГЛАВА 1 

Статья 1. Сфера применения.

Пункт 1. Закон регулирует отношения, возникающие при разработке,

принятии, применении и исполнении:

     а) обязательных требований к продукции, процессам производства,

эксплуатации, хранения, перевозки, реализации и утилизации;

     б) требований на добровольной основе к продукции, процессам и

другим объектам ТР, а также при оценке соответствия.

Пункт 3. Действие закона не распространяется на государственные

общеобразовательные стандарты, положения о бухучёте и правила (стандарты) аудиторской деятельности, стандарты эмиссии ценных бумаг

и проспектов их эмиссии. 

Статья 2. Основные понятия.

Декларация о  соответствии – документ, удостоверяющий соответствие продукции требованиям технического регламента. Технический регламент – документ, принятый международным ратифицированным договором РФ или указом президента РФ (постановлением правительства РФ) и устанавливающий обязательные для применения и исполнения требования к объектам технического регулирования.

Статья 3. Принципы технического регулирования:

применение единых правил установления требований к объектам ТР;

соответствие ТР уровню национальной экономики и научно-

технического  развития; независимость органов по аккредитации и сертификации от субъектов – изготовителей, продавцов, исполнителей и приобретателей; недопустимость совмещения полномочий органа госконтроля (надзора) и органа сертификации, а также полномочий на сертификацию и аккредитацию.

Статья 4. Законодательство РФ о техническом регулировании.

Федеральные органы исполнительной власти вправе создавать в сфере технического регулирования акты только рекомендательного характера, за исключением случаев, определённых в статье 5.

Статья 5. Особенности технического регулирования в отношении оборонной продукции и продукции, сведения о которой составляют государственную тайну. В отношении такой продукции вышеуказанные акты могут носить

обязательный характер. 

ГЛАВА 2

Статья 6. Цели принятия технического регулирования:

защита жизни или здоровья граждан; охрана окружающей среды, жизни животных и растений; предупреждение действий, вводящих в заблуждение приобретателей.

Статья 7. Содержание и применение технических регламентов

Они должны содержать требования к характеристикам объектов ТР,

но не должны содержать требования к конструкции и исполнению, если их

отсутствие не противоречит целям принятия регламентов, изложенным в

статье 6. Регламент не может содержать требования к продукции, причиняющей вред жизни и здоровью граждан при длительном её использовании, а может только содержать требования к информированию

приобретателя о вреде и факторах, от которых вред зависит.

Статья 8. Виды технический регламентов.

В РФ действуют  общие технические регламенты и специальные технические регламенты. Требования общих регламентов обязательны для применения ко

всем объектам технического регулирования, а требованиями специальных регламентов учитываются технологические и иные особенности отдельных объектов технического регулирования.

Статья 9. Порядок разработки, принятия, изменения и отмены технических регламентов.

Регламент принимается федеральным законом в установленном порядке с обязательной публикацией уведомления о разработке его проекта. Разработчик должен дорабатывать проект регламентов с учётом полученных замечаний заинтересованных лиц, проводить публичное обсуждение проекта и сохранять замечания до дня вступления в силу регламентов.

Статья 10. Особый порядок разработки и принятия технического регулирования.

В исключительных случаях, приводящих к непосредственной угрозе жизни, здоровью и т.п., президент РФ вправе издать регламент без его публичного обсуждения. 

ГЛАВА 3

Статья 11. Цели стандартизации:

повышение уровня безопасности жизни или здоровья; повышение уровня безопасности объектов; обеспечение научно-технического прогресса;

повышение конкурентоспособности  продукции; рациональное использование ресурсов; техническая и информационная совместимость; сопоставимость результатов испытаний и статистических данных; взаимозаменяемость продукции.

Статья 12. Принципы стандартизации:

добровольное  применение стандартов; максимальный учёт законных интересов заинтересованных лиц при разработке стандартов; применение международных стандартов как основы разработки национальных стандартов; недопустимость таких стандартов, которые противоречат техническому регламенту; обеспечение условий для единообразного применения стандартов.

Статья 13. Документы в области стандартизации:

национальные  стандарты; правила стандартизации, нормы и рекомендации;

классификации, общероссийские классификаторы социальной и технико-экономической информации; стандарты организаций. 

ГЛАВА  4

Статья 18. Цели подтверждения соответствия:

удостоверение соответствия продукции техническому регламенту, стандартам и условиям договоров; содействие приобретателям в выборе продукции и других объектов технического регулирования; повышение конкурентоспособности на международном и российском рынках; создание условий для свободного перемещения товаров по РФ, а также для международного сотрудничества и торговли.

Статья 19. Принципы подтверждения соответствия:

доступность для заинтересованных лиц информации о порядке подтверждения соответствия; недопустимость применения обязательного подтверждения соответствия к объектам, для которых не установлены требования технического регламента; установление перечня форм и схем обязательного подтверждения соответствия определённых видов продукции технического регламента; недопустимость принуждения к добровольному подтверждению соответствия, в том числе в системе добровольной сертификации; недопустимость подмены обязательного подтверждения соответствия добровольной сертификацией.

Статья 20. Формы подтверждения соответствия:

подтверждение соответствия на территории РФ может носить добровольный или обязательный характер; добровольное подтверждение соответствия осуществляется в форме добровольной сертификации; обязательное подтверждение соответствия осуществляется в формах принятия декларации о соответствии и обязательной сертификации.

Статья 21. Добровольное подтверждение соответствия:

может осуществляться для установления соответствия национальным стандартам, стандартам организаций, системам добровольной сертификации и условиям договоров; объектами добровольного подтверждения соответствия являются объекты технического регулирования, для которых стандартами, системами добровольной сертификации и договорами устанавливаются соответствующие требования. Орган по сертификации подтверждает соответствие объектов технического регулирования; выдаёт сертификат соответствия; приостанавливает или прекращает действие выданных им сертификатов соответствия.

Статья 22. Знаки соответствия.

Маркировка осуществляется знаком соответствия системы добровольной сертификации в соответствии с порядком применения знака, установленным правилами системы добровольной сертификации.

Статья 23. Обязательное подтверждение соответствия.

Оно проводится только в случаях, установленных соответствующим техническим регламентом, и исключительно на соответствие требованиям регламента. Объектом обязательного подтверждения соответствия может быть только продукция, выпускаемая на территории РФ. Декларация о соответствии и сертификат соответствия имеют равную юридическую силу. 

Статья 24. Декларирование соответствия.

Оно осуществляется по одной из схем:

а) принятие декларации на основе собственных доказательств;

б) принятие декларации на основе доказательств, полученных с участием органов по сертификации и (или) аккредитованной испытательной лаборатории (центра).

В первом случае заявитель самостоятельно формирует доказательные материалы, а во втором – заявитель включает протоколы испытаний в испытательном центре и предоставляет сертификат качества, в отношении которого предусмотрен контроль (надзор) органа сертификации, выдавшего данный сертификат.

Статья 25. Обязательная сертификация.

Она осуществляется на основании договора с заявителем. Соответствие продукции требованиям регламентов подтверждается сертификатом соответствия, включающим в себя: наименование и местонахождение заявителя, изготовителя продукции и органа, выдавшего сертификат;

информацию об объекте сертификации, позволяющую идентифицировать объект; наименование технического регламента, на соответствие требованиям которого проводилась сертификация; информацию о проведенных испытаниях и документах заявителя, представленных в орган сертификации в качестве доказательств соответствия требованиям регламентов; срок действия сертификата.

Статья 26. Организация обязательной сертификации

Орган по сертификации: привлекает на договорной основе аккредитованные испытательные центры (лаборатории); осуществляет контроль объектов сертификации; ведёт реестр выданных им сертификатов; информирует органы госконтроля за соблюдением требований технического регламента

о продукции, поступившей  на сертификацию, но не прошедшей её;

приостанавливает  или прекращает действие выданного  им ранее сертификата.

Статья 27. Знак обращения на рынке.

Используется  для маркировки продукции, прошедшей подтверждение соответствия (в информационных целях) и осуществляется заявителем самостоятельно любым удобным для него способом. 

ГЛАВА 7

Статья 37. Информация о несоответствии продукции требованиям технического регламента.

Изготовитель (продавец), которому стало известно о несоответствии

продукции, обязан сообщить об этом в орган госнадзора в течение 10 дней.

Продавец, получивший такую информацию, обязан довести  её в течение 10

дней до изготовителя. При получении такой информации органом госконтроля от других лиц последний должен известить об этом изготовителя (продавца) в течение 5 дней. 

ГЛАВА 9

Статья 46. Переходные положения.

До вступления в силу новых регламентов (в течение 7 лет) требования к объектам ТР устанавливаются нормативно-правовыми актами РФ и подлежат обязательному исполнению только в части, соответствующей целям:

защиты жизни  и здоровья граждан; охраны окружающей среды;

предупреждения  действий, вводящих в заблуждение  приобретателя.

Обязательное  подтверждение соответствия осуществляется только в

отношении отечественной продукции.  

Правительством  РФ до вступления в силу технического регламента ежегодно дополняется перечень объектов технического регулирования, в отношении которых обязательная сертификация заменяется добровольной. Обязательные требования к объектам технического регулирования, в отношении которых технические регламенты в течение 7 лет не будут приняты, прекращают своё действие.

Выданные сертификаты  и документы об аккредитации до данного закона считаются действительными до окончания срока, указанного в них. 
 

   3. Особенности сертификации программного обеспечения

     Рекомендованные шесть характеристик качества ПО представляют основу для оценки и сертификации программ различных классов. При этом необходимо предварительно решить вопросы установления метрик, важности каждой характеристики, уровней ранжирования, критериев оценки и разработки моделей оценивания применительно к конкретным условиям применения ПО в определённой организации. Важность каждой характеристики качества меняется в зависимости от класса ПО, а также от различных точек зрения на их важность со стороны пользователя, разработчика и руководителя. В соответствии с этим разработчиками могут использоваться различные метрики для одних и тех же характеристик ПО, потому что одни и те же метрики не применимы для всех фаз ЖЦ ПО. Так, если пользователя интересует только качество конечной продукции, то разработчики заинтересованы и в качестве промежуточных результатов на всех фазах ЖЦ, так как без этого конечный результат может быть не оптимальным или вовсе не отвечать заданным требованиям. Руководители более заинтересованы в общем качестве ПО, чем в конкретных характеристиках, и поэтому для них важнее вопросы сопоставления повышения качества с критериями управляемости, такими как плановая задержка или перерасход стоимости, так как для них основная задача состоит в оптимизации качества в пределах ограниченной стоимости, трудовых ресурсов и установленного времени.

     Для шести вышеназванных характеристик  качества ПО используют несколько достаточно апробированных метрик, но стандартами предусмат-

ривается возможность разработки организациями дополнительной номенклатуры характеристик и показателей, своих собственных моделей

процесса оценивания и методов формирования метрик, связанных с этими

характеристиками. Это делается для более широкого охвата различных

областей применения ПО с определённой спецификой решаемых задач.

Считается общепринятым, что наиболее объективным путём  определения важности характеристик  является путь проведения экспертных оценок на предмет выявления свойств, определяющих качество ПО конкретного применения, включая и те, которые не вошли в шесть обязательных характеристик , и упорядочение их по предпочтительности.

     Руководствуясь  этим, в интересах оценки и сертификации ИС специального назначения одним из авторов при выполнении соответствующей НИР был проведен опрос, в основу которого была положена анкета с включённой в неё совокупностью характеристик (свойств), полученной в результате анализа требований к ПО данной ИС.

Объективность опроса достигалась участием в нём 35 ведущих специалистов из 10 организаций заказчиков и разработчиков ИС, а также проверкой согласованности ответов экспертов и исключением крайне противоположных оценок. Результаты обработки такой информации с учётом некоторой корректировки названий свойств, в соответствии с рекомендациями приведены в таблице: 

Сертификация  программ или сертификация программного обеспечения не является обязательной процедурой. Сертификат на программное  обеспечение можно получить на добровольной основе. Сертификация программ проводится на соответствие требованиям ГОСТов, которые определяют нормы и правила  для программного обеспечения. В России действует Система добровольной сертификации программного обеспечения средств измерений и информационно-измерительных систем, разработанная ВНИИ метрологической службы. Существует несколько принципов классификации программного обеспечения. Например, программное обеспечение (ПО) может подразделяться на системное (операционные системы, кодеки, драйверы), прикладное (архиваторы, антивирусные программы, текстовые редакторы, программы для работы с видео и аудио, Интернет-браузеры и т.д.) и инструментальное (Системы управления базами данных, средства разработки программного обеспечения).

Сертификация  программного обеспечения предполагает сертификацию:

операционных  систем и средств их расширения, систем программирования и утилит, сетевого программного обеспечения, систем управления базами данных (СУБД), редакционно-издательского программного обеспечения,

программного  обеспечения для деловой и  презентационной графики,

электронных таблиц, программного обеспечения для систем «электронных сделок», программного обеспечения для обработки документов,

программного  обеспечения для систем искусственного интеллекта,

программного  обеспечения для моделирования, программного обеспечения для научных исследований, систем автоматизированного проектирования (САПР), программного обеспечения для технологической подготовки производства, автоматизированных систем управления технологическими процессами (АСУ ТП), программного обеспечения для автоматизации управления отраслями и объединениями, педагогического программного обеспечения, игр, лотерей, аукционов, средств развлечения и пр., баз данных и информационно-справочных систем, электронных архивов,

электронных изданий, мультимедиа-приложений и т.д. 

Сертификация  программ проводится на соответствие:

ГОСТ 19.101-77 Виды программ и программных документов

ГОСТ 19.106-78 Требования к программным документам, выполненным  печатным способом

ГОСТ 19.003-80 ЕСПД. Схемы алгоритмов и программ. Обозначения  условные графические

ГОСТ 19.001-77 ЕСПД. Р – Схемы алгоритмов и программ

ГОСТ 19.401-78 Текст программы. Требования к содержанию и оформлению

ГОСТ 19.404-79 Пояснительная  записка. Требования к содержанию и  оформлению

ГОСТ 19.501-78 Формуляр. Требования к содержанию и оформлению.

ГОСТ 19.508-79 Руководство  по техническом обслуживанию. Требования к содержанию и оформлению

ГОСТ 19.601-78 Общие  правила дублирования, учета и  хранения.

ГОСТ 19.604-78 Правила  внесения изменений в программные  документы, выполненных печатным способом.

ГОСТ Р ИСО/МЭК 9126-93 Информационная технология. Оценка программной продукции. Характеристики качества и руководства по их применению

ГОСТ Р ИСО/МЭК ТО 9294-93 Информационная технология. Руководство по управлению документированием программного обеспечения

ГОСТ Р ИСО 9127-94 Системы обработки информации. Документация пользователя и информация на упаковке для потребительских программных пакетов

ГОСТ 28195-89 Оценка качества программных средств. Общие  положения

ГОСТ 19.005-85 Единая система программной документации. Р-схемы алгоритмов и программ. Обозначения  условные графические и правила  выполнения

ГОСТ 19.201-78 Единая система программной документации. Техническое задание. Требования к  содержанию и оформлению и т.д. 
 

     Процесс сертификации

Процесс сертификации программного обеспечения включает в себя следующие этапы:

1.      подача заказчиком заявки на  сертификацию;

2.     принятие решения по заявке  на сертификацию, в том числе  назначение экспертов на проведение  основных работ по сертификации  из числа экспертов органа  по сертификации;

3.      оформление договора на проведение  работ по сертификации;

4.      разработка методики проведения  сертификационных испытаний ПС  и согласование этой методики  с заказчиком;

5.      проведение сертификационных испытаний  ПС;

6.      принятие решения о выдаче  Сертификата соответствия либо  об отказе в выдаче Сертификата  соответствия;

7.      оформление Сертификата соответствия.