Диалектика сертификации
Когда давеча ваш покорный слуга осмелился критиковать систему сертификации ПО, упустил важный аргумент.
Институт сертификации был придуман для статичных вещей и заточен под них же. А программы - предмет динамичный, особенно современные. И чем современней, тем динамичнее ( Read more... )
Институт сертификации был придуман для статичных вещей и заточен под них же. А программы - предмет динамичный, особенно современные. И чем современней, тем динамичнее ( Read more... )
Reply
Каждый день проверять, проверять производство, проверять систему гарантирующую безопасность выпускаемого ПО и т.п.
Вопрос в другом:
- сам Разработчик готов доказать покупателю/заказчику безопасность своего ПО?
Reply
Какой смысл показывать статический слепок "вот мы как бы родили более-менее приличный код, не знаем как", когда нужно показывать -- вот так у нас пишутся тесты, вот так у нас выглядит процесс релиза, вот так мы выпускаем патчи и фиксим баги?
Боюсь, что большинству разработчиков просто тогда не светит никакая сертификация :-)
Reply
Кто из Разработчиков готов представить не софт написанный на коленке состав которого сами не знают а...
- на этапе проектирования мы рассмотрели такие вопросы
- при проектировании предусмотрели это и это, применяли такие стандарты и практики, такие средства автоматизации проектирования безопасного кода
- при кодировании применяли такой контроль
- проводили промежуточный контроль, тестирование и моделирование
- полученное ПО подвергалось тестированию по следующим методикам, получены такие то результаты...
При таких условиях уровень доверия совсем другой !
Reply
Reply
Если это не продукт, а процесс, то и сертификацию надо заменить рейтингованием. Примерно как выставляется кредитный рейтинг.
Например. Обнаружен баг - минус 5 пунктов. Выпустили патч за один день - плюс 10 пунктов. Выпускали патч две недели - минус 20 пунктов. Открыли линию техподдержки на новом языке - плюс 50 пунктов. Нахамили клиенту - минус один пункт. Как только вылетели из категории "ААА" в категорию "Б+" - продукт нельзя использовать для гостайны. Опустились ниже "ЦЦЦ" - нельзя для персональных данных.
Reply
Reply
Отсутствует рейтинг безопасности - ступайте в общую очередь; страхование информационных рисков по высшей ставке.
Reply
А ведь такая ситуация нормальна.
Reply
Reply
Если я задокументирую и представлю на рассмотрение... я смогу там ПД обрабатывать?
Reply
А "могу -- не могу".. В рамках действующего законодательства этот разговор смысла не имеет. Если спросить меня, как бы должно быть с точки зрения здравого смысла -- я ответил бы "можете", ну, с некоторыми поправками.
Reply
Reply
с некоторыми моментами не переборщить бы а то посреди Атлантики:
- Внимание внимание говорит командир подводного крейсера ***
- БЧ5,БЧ7 прекратить использование ПБУ 28 в связи с тем что мы узнали что у производителя отобрали 5 пунктов рейтинга за пьянку на рабочем месте !
Что делать с используемыми продуктами у которых рейтинг упал ? Выкидывать ?
Reply
Reply
Вопрос я так понимаю повис...
Reply
Leave a comment