Приложение С (справочное). Информация об области применения стандартов СТК 1, касающихся безопасности

Приложение С
(справочное)

Информация об области применения стандартов СТК 1, касающихся безопасности

С.1 ИСО/МЭК 15026 Разработка систем и программного обеспечения. Обеспечение систем и программного обеспечения (ISO/IEC 15026, Systems and software engineering - Systems and software assurance)

C.1.1 Часть 1. Понятия и словарь

Часть 1 определяет термины, понятия и их связь, создавая основы для общего понимания понятий и принципов, важных для ИСО/МЭК 15026. ИСО/МЭК 15026 не содержит информацию о непрерывном использовании и управлении службами.

С.1.2 Часть 2. Обоснование гарантии

Часть 2 определяет минимальные требования к структуре и содержанию обоснования гарантии. Обоснование гарантии включает требования высокого уровня о свойствах системы или изделия, систематическое обоснование относительно каждого из этих требований, а также доказательства и явно выраженные допущения, лежащие в основе этого обоснования. Рассуждая о многоуровневой иерархии требований, данное структурированное обоснование объединяет требования высокого уровня с доказательствами и допущениями.

Обоснования гарантии, как правило, разработаны для поддержки требований в таких областях, как безопасность, надежность, ремонтная технологичность, учет человеческих факторов, функциональность и защита, хотя эти обоснования гарантии часто называются более конкретными названиями, например обоснование безопасности или обоснования надежности и ремонтопригодности (R&M).

С.1.3 Часть 3. Уровни целостности системы

Часть 3 определяет понятие уровней целостности и соответствующие требования к уровню целостности, которые необходимо соблюдать, с целью показать, что уровень целостности достигнут. Она устанавливает требования и рекомендует методы определения и использования уровней целостности и требований к ним, включая присвоение уровней целостности системам, программным продуктам, их элементам и соответствующим внешним связям.

Стандарт применим к системам и программному обеспечению и предназначен для использования следующими лицами:

- юридические лица, определяющие уровни целостности, например отраслевые и профессиональные организации, организации по стандартизации и государственные учреждения;

- пользователи уровней целостности, например разработчики и специалисты по техническому обслуживанию, поставщики и покупатели, пользователи и эксперты по оценке систем или программного обеспечения, а также организационной и технической поддержке систем и/или программных продуктов;

- поставщики и покупатели, подписавшие соглашения, например для оказания помощи в обеспечении характеристик безопасности, экономического положения или защиты после установки системы или продукта.

ИСО/МЭК 15026-3 не задает определенный набор уровней целостности или требований к уровню целостности либо то, каким образом использование уровней целостности будет интегрировано с целой системой или процессами стадии разработки программного обеспечения его жизненного цикла.

Часть 3 может использоваться отдельно или с другими частями ИСО/МЭК 15026. Она может быть использована с различными техническими или специализированными методами анализа рисков и подходами к разработке. Использование уровней целостности в соответствии с указаниями, приведенными в данной части, не требует обоснования гарантии, как указано в части 2. Тем не менее уровни целостности и обоснования гарантии могут взаимодействовать, и пути для достижения этого описаны.

С.2 ИСО/МЭК 12207:2008 Разработка систем и программного обеспечения. Процессы жизненного цикла программного обеспечения (ISO/IEC 12207:2008, Systems and software engineering - Software life cycle processes)

Настоящий международный стандарт устанавливает общую структуру для процессов жизненного цикла программного обеспечения и применим к приобретению систем и программных продуктов и служб, закупке, разработке, эксплуатации, технической поддержке и утилизации программных продуктов и части программного обеспечения системы несмотря на то, осуществляется ли это внутри или извне для организации.

Он также предоставляет процесс, который может быть использован для определения, управления и совершенствования жизненного цикла программного обеспечения. Включает 123 страницы и является вторым изданием, впервые опубликованным в рамках ИСО в 1995 г. Многое в данном стандарте заимствовано из предыдущих изданий US-DoD MIL-STD и работы, проведенной в IEEE.

С.3 ИСО/МЭК 26702:2007 Разработка системы. Управление и применение процессов разработки систем (ISO/IEC 26702:2007, Systems engineering - Application and management of the systems engineering process)

Данный международный стандарт, состоящий из 87 страниц и являющийся первым изданием, определяет межотраслевые задачи, которые требуются в ходе всего жизненного цикла системы для преобразования потребностей покупателей, а также требований и ограничений в системные решения.

Кроме того, он определяет требования для процесса проектирования системы и его применение на протяжении всего жизненного цикла продукта. ИСО/МЭК 26702 уделяет большое внимание инженерно-техническим мероприятиям, необходимым для руководства разработкой изделия, обеспечивая при этом надлежащую разработку изделия для того, чтобы сделать его доступным для производства, приобретения, эксплуатации, обслуживания и в конечном итоге удаления без излишнего риска для здоровья или окружающей среды.

С.4 ИСО/МЭК/ТС 15504-10:2011 Информационные технологии. Оценка процессов. Часть 10.

Расширение безопасности (ISO/IEC/TS 15504-10:2011, Information technology - Process assessment - Part 10: Safety extension)

ИСО/МЭК 15504 предоставляет общий подход для оценки процессов. Этот общий подход может использоваться организациями, участвующими в планировании, менеджменте, контроле, управлении и в улучшении процессов приобретения, закупки, разработки, эксплуатации, развития и поддержки изделий и услуг.

Опубликованные в ИСО/МЭК 15504 модели оценки процесса для систем и программного обеспечения в настоящее время не предоставляют достаточную основу для осуществления оценки возможностей процессов при разработке сложных систем, связанных с безопасностью.

Разработка систем, связанных с безопасностью, требует специализированных процессов, методов, навыков и опыта. Необходимо расширение процесса (расширение безопасности) в области менеджмента безопасности, проектирования средств обеспечения безопасности и квалификации по эксплуатационной безопасности. ИСО/МЭК/ТС 15504-10 представляет эти расширения в качестве трех описаний процессов:

- менеджмента безопасности;

- проектирования средств безопасности;

- сертификации безопасности.

Цель ИСО/МЭК/ТС 15504-10 не состоит ни в обеспечении способа для верификации соблюдения одного или нескольких стандартов по безопасности, специализированных для определенной области, ни в расширении ИСО/МЭК 15504 с целью использования его в качестве стандарта по безопасности, согласно которому следует выполнять проверку соответствия. Его цель состоит в том, чтобы предоставить специалистам по оценке необходимые средства и информацию для измерения возможностей процессов, а также определить возможные действия по улучшению процесса, если программное обеспечение/система, находящееся/находящаяся в разработке, связана с безопасностью.

ИСО/МЭК/ТС 15504-10 как отдельный документ может быть использован в сочетании с моделями оценки процесса (из ИСО/МЭК 15504-5 и/или ИСО/МЭК 15504-6) опытными специалистами по оценке с минимальной поддержкой экспертов по безопасности в проблемной области. Эта техническая спецификация была разработана независимо от любых конкретных стандартов по безопасности, которые определяют принципы, методы, технические средства для обеспечения безопасности и результаты работы. Тем не менее элементы соответствующих стандартов по безопасности могут быть использованы для расширения безопасности, а расширение безопасности направлено на возможность расширения для включения конкретных требований в стандарты по безопасности.

Влияние расширения безопасности на оценку процессов в ИСО/МЭК 15504-5 и ИСО/МЭК 15504-6 описывается в ИСО/МЭК/ТС 15504. Для каждого процесса, приведенного в ИСО/МЭК 15504-5 и ИСО/МЭК 15504-6, есть указание на дополнительные проблемы, которые учитываются во время оценки. Проблемы представляются в виде указаний на конкретные отношения между процессами ИСО/МЭК 15504-5 и процессами ИСО/МЭК 15504-6 и ИСО/МЭК/ТС 15504-10, а также путем выделения соответствующих аспектов, которые должны быть рассмотрены для улучшения полноты сбора данных на стадии оценки. Таким образом, эксперт по оценке может использовать ИСО/МЭК/ТС 15504-10 для того, чтобы проверить, не были ли утеряны некоторые важные аспекты, связанные со средой разработки безопасности, во время оценки процессов, основанных на ИСО/МЭК 15504-5 или ИСО/МЭК 15504-6.