Подтверждение соответствия программного обеспечения начинается с подготовки пакета документов, позволяющего экспертам и регуляторам однозначно оценить, соответствует ли продукт установленным стандартам. Ключевым является техническое задание, фиксирующее функциональные, производственные и эксплуатационные характеристики системы. Оно должно содержать детализированные сценарии использования, параметры производительности и ограничения, влияющие на безопасность.
Необходимым элементом является отчет о тестировании, включающий перечень проведенных проверок, методики испытаний и зафиксированные результаты. Для программ, обрабатывающих персональные данные или относящихся к критически важным объектам, требуется протокол испытаний на соответствие требованиям информационной безопасности, подписанный аккредитованной лабораторией.
В состав пакета документов также входят сертификаты и лицензии на используемые компоненты, включая сторонние библиотеки и фреймворки. При наличии модулей с криптографическими функциями требуется заключение ФСБ или ФСТЭК о соответствии. В ряде случаев прикладывается руководство пользователя, подтверждающее наличие предусмотренных функций и правильную реализацию интерфейсов, описанных в проектной документации.
Перечень обязательных нормативных актов для проверки ПО
Федеральный закон № 149-ФЗ «Об информации, информационных технологиях и о защите информации» – определяет требования к защите данных, порядок обработки информации и ограничения по доступу.
Федеральный закон № 152-ФЗ «О персональных данных» – регламентирует условия сбора, хранения, обработки и передачи персональных данных, включая требования к их защите.
Федеральный закон № 187-ФЗ «О безопасности критической информационной инфраструктуры Российской Федерации» – устанавливает обязательные меры защиты для ПО, используемого в объектах КИИ.
ГОСТ Р 56939-2016 – содержит требования к разработке безопасного программного обеспечения, включая анализ уязвимостей и управление инцидентами.
ГОСТ Р ИСО/МЭК 27001-2021 – определяет стандарты управления информационной безопасностью в организациях, включая требования к ПО и инфраструктуре.
Приказ ФСТЭК России № 17 – описывает порядок классификации и требования к защите государственных информационных систем.
Приказ ФСТЭК России № 239 – устанавливает правила сертификационных испытаний программных средств защиты информации.
Приказ Роскомнадзора № 21 – регламентирует порядок уведомления и согласования обработки персональных данных.
Для проверки соответствия ПО требованиям необходимо сопоставить функциональные и защитные характеристики продукта с указанными нормативами, обеспечив документальное подтверждение выполнения каждого из обязательных положений.
Техническое задание как базовый документ соответствия
Техническое задание (ТЗ) определяет функциональные, эксплуатационные и интеграционные параметры программного обеспечения, по которым проводится оценка его соответствия. Документ фиксирует требования к архитектуре, алгоритмам, интерфейсам, протоколам обмена данными, а также ограничения по производительности, надежности и безопасности.
Для подтверждения соответствия ТЗ должно содержать измеряемые критерии: допустимые значения задержки отклика, максимальную нагрузку на сервер, поддерживаемые форматы данных, версии API, регламент обработки ошибок и методы защиты информации. Каждое требование должно иметь идентификатор для прямой связи с результатами испытаний и актами проверки.
Рекомендуется включать в ТЗ матрицу трассируемости, где каждому пункту требований соответствует конкретный тест или контрольная процедура. Это исключает разночтения при экспертизе и упрощает аудит. При изменениях в ТЗ все корректировки должны фиксироваться с указанием причины и даты внесения, что обеспечивает юридическую значимость документа при сертификации.
Протоколы испытаний и тестирования программного продукта
Протокол испытаний фиксирует результаты выполнения тестов по заранее утверждённым сценариям и служит документальным подтверждением соответствия функционала заявленным требованиям. В документе указываются идентификатор версии ПО, дата проведения, состав испытательной группы, используемая тестовая среда и конфигурация оборудования.
Каждый тестовый кейс должен иметь уникальный номер, описание входных данных, последовательность шагов, ожидаемый результат и фактический исход выполнения. При несоответствиях фиксируются код ошибки, условия воспроизведения и ссылки на скриншоты или журналы событий.
Для систем, подлежащих обязательной сертификации, протоколы включают сведения о методиках испытаний (с указанием нормативных документов), критериях приемки и уровне покрытия требований. Дополнительно рекомендуется вносить ссылки на автоматизированные отчёты, полученные из систем CI/CD, с указанием контрольных хэшей исполняемых файлов.
Подписанный протокол хранится в составе технической документации, обеспечивая возможность ретроспективного анализа и повторного воспроизведения тестов при обновлении версии ПО.
Сертификаты безопасности и лицензии разработчика
Для подтверждения соответствия программного обеспечения требованиям информационной безопасности требуется наличие официальных сертификатов, выданных аккредитованными органами, и действующих лицензий на разработку и распространение ПО. Отсутствие таких документов может привести к отказу в эксплуатации продукта на объектах с повышенными требованиями к защите данных.
Наиболее востребованные документы включают:
| Документ | Выдающий орган | Цель | Срок действия |
|---|---|---|---|
| Сертификат ФСТЭК России | Федеральная служба по техническому и экспортному контролю | Подтверждение соответствия средств защиты информации установленным требованиям | 3–5 лет |
| Сертификат ФСБ России | Федеральная служба безопасности Российской Федерации | Разрешение на использование криптографических средств защиты | 3 года |
| Лицензия на деятельность по разработке средств защиты информации | ФСТЭК России | Право на разработку и модернизацию ПО с функциями защиты | Бессрочная при соблюдении условий |
| Лицензия на деятельность в области шифрования | ФСБ России | Разработка, распространение и сервис криптографических средств | Бессрочная при соблюдении условий |
Рекомендуется вести реестр всех сертификатов и лицензий с указанием сроков действия и ответственных лиц. Для продления документов необходимо заблаговременно готовить комплект технической документации, отчёты по испытаниям и акты аудита безопасности.
Отчёты о проведённом аудите исходного кода
Отчёт включает перечень проверенных модулей, дату и версию анализируемого релиза, используемые инструменты статического и динамического анализа (например, SonarQube, PVS-Studio), а также описание выявленных уязвимостей с указанием их уровня критичности по принятой шкале (CVSS или аналогичной).
Обязательно фиксируются пути к файлам, в которых обнаружены нарушения, ссылки на конкретные строки кода, рекомендации по устранению и предполагаемое влияние дефекта на функциональность и безопасность продукта.
Прилагаются метрики качества кода: покрытие тестами, количество предупреждений компилятора, показатели сложности (Cyclomatic Complexity), процент дублирования кода. Для подтверждения подлинности данных рекомендуется приложить хэш-суммы файлов отчёта и исходного кода на момент проверки.
В заключении указываются принятые разработчиком меры по устранению замечаний, дата повторной проверки и итоговый статус соответствия исходного кода требованиям, установленным в техническом задании и нормативных документах.
Акты приёмки и передачи программного обеспечения заказчику
Акт приёмки-передачи ПО фиксирует факт передачи разработанного продукта и согласия сторон с его состоянием. Документ составляется в двух экземплярах – для исполнителя и заказчика, с одинаковым содержанием и подписями сторон.
Ключевые элементы акта:
- Наименование ПО, версия, дата сборки.
- Список передаваемых компонентов: исполняемые файлы, исходный код, документация, лицензии.
- Перечень требований и функций, реализованных в передаваемой версии.
- Результаты тестирования: ссылки на протоколы, выявленные и устранённые дефекты.
- Условия гарантии и сроки технической поддержки.
- Подписи уполномоченных представителей сторон с расшифровкой.
Рекомендации по оформлению:
- Указывать точные идентификаторы версии и контрольные суммы файлов для исключения споров.
- Прилагать копии или ссылки на эксплуатационную документацию в утверждённой редакции.
- Фиксировать способ передачи ПО (физический носитель, защищённый канал, репозиторий).
- Включать перечень прав на использование, объём лицензии и ограничения.
- Хранить подписанные экземпляры акта вместе с проектной документацией не менее срока действия договора.
Регистрационные документы и сведения о правообладателе ПО
Для подтверждения прав на программное обеспечение необходимо предоставить полный комплект регистрационных документов, позволяющих однозначно идентифицировать правообладателя и юридическую чистоту продукта.
- Свидетельство о государственной регистрации программы для ЭВМ или базы данных, выданное Роспатентом (при наличии).
- Договор авторского заказа или лицензионный договор, закрепляющий передачу прав на ПО.
- Акты приёма-передачи исключительных прав или копии соглашений об их отчуждении.
- Выписка из ЕГРЮЛ или ЕГРИП с актуальными данными о правообладателе.
- Документы, подтверждающие создание ПО штатными сотрудниками (приказы о приёме на работу, должностные инструкции, акты выполненных работ).
В регистрационных сведениях о правообладателе должны быть указаны:
- Полное и сокращённое наименование организации или ФИО индивидуального предпринимателя.
- ИНН, ОГРН (ОГРНИП), дата регистрации.
- Юридический адрес и контактные данные.
- Фактическое местонахождение разработчиков (при наличии филиалов или обособленных подразделений).
Рекомендуется хранить заверенные копии всех документов, а при подаче их для подтверждения соответствия – использовать версии с нотариальным удостоверением или электронной подписью, чтобы исключить сомнения в подлинности.
Вопрос-ответ:
Какие документы обычно требуют при подтверждении соответствия программного обеспечения?
Чаще всего запрашиваются техническое задание, спецификации, результаты тестирования, акты приёмки и сертификаты или заключения аккредитованных лабораторий. В некоторых случаях дополнительно могут понадобиться инструкции по эксплуатации, описание архитектуры и протоколы испытаний.
Нужно ли предоставлять исходный код при проверке соответствия?
Требование о предоставлении исходного кода зависит от конкретных условий и регулятора. Если проверка проводится на соответствие государственным стандартам безопасности или криптографическим требованиям, инспекторы могут запросить код для анализа. В большинстве коммерческих случаев достаточно предоставить описания алгоритмов и результаты тестов.
Кто готовит пакет документов для подтверждения соответствия — заказчик или разработчик?
Чаще всего пакет готовит разработчик, так как он располагает всеми техническими деталями продукта. Однако заказчик может участвовать в сборе документов, особенно если часть работ по проекту выполнялась силами его сотрудников или сторонних подрядчиков. При сертификации в государственных органах ответственность за предоставление документов несёт организация-заявитель.
Как оформляются результаты тестирования для подачи на проверку?
Результаты тестирования оформляются в виде протоколов, где указываются условия проведения испытаний, используемые методики, полученные данные и вывод о соответствии. Важно, чтобы документ был подписан ответственными лицами и при необходимости заверен печатью организации или лаборатории.
Можно ли использовать документы, подготовленные для одной проверки, при следующей сертификации?
Да, но только если программное обеспечение и требования не изменились. Если в продукт вносились доработки или обновлялись стандарты, придётся проводить новые испытания и готовить обновлённый комплект документов. Регуляторы обычно принимают только актуальные материалы с актуальной датой подписания.
Какие документы обычно требуют для подтверждения соответствия программного обеспечения установленным требованиям?
В большинстве случаев запрашивают комплект материалов, позволяющий оценить разработку и эксплуатацию системы. Сюда входят: техническое задание с описанием функционала и архитектуры, акты приемки и испытаний, протоколы тестирования, сертификаты на используемые модули и лицензии, документация по установке и эксплуатации, а также отчеты о проверках информационной безопасности. Дополнительно могут потребоваться экспертные заключения независимых организаций, если это предусмотрено нормативами. Наличие всех этих документов помогает контролирующей стороне убедиться, что ПО соответствует заявленным характеристикам и требованиям нормативных актов.
Загрузка...
