ЖУРНАЛ СТА 1/2015

всех современных стандартов функцио- нальной и информационной безопасно- сти по сути совершенно аналогичны и отличаются только реализацией деталей. Возьмём для сравнения четыре нор- мативных документа: ● DO-178B (КТ-178В или ГОСТ Р 51904: 2002); ● IEC61508-3:2010 (ГОСТРМЭК61508- 3:2012); ● РДФСТЭК «Защита от несанкциониро- ванного доступа к информации. Часть 1. Программное обеспечение средств за- щиты информации. Классификация по уровню контроля отсутствия не- декларированных возможностей»; ● IEC 15408-3:2008 (ГОСТ РИСО/МЭК 15408-3:2013 «Общие критерии»). Всеми этими документами (хотя и под разными названиями и в разном соста- ве) так или иначе предписываются одни и те же методы контроля качества: ● функциональное тестировани е, то есть проверка соответствия реальной и за- явленной функциональности; ● структурное тестирование , то есть по- строение перечня маршрутов выпол- нения и анализ покрытия этих марш- рутов тестовыми сценариями; ● м одульное тестирование , то есть те- стирование каждого программного модуля по отдельности и в совокуп- ности на различных наборах данных, включая некорректные и граничные значения; ● проверка соответствия стандартам ко- дирования , то есть соответствие тре- бованиям выбранных методик напи- сания и оформления кода (MISRA, CWE, венгерская нотация и т.п.); ● подсчёт количественных метрик , то есть численных оценок объёма, сложности, тестируемостии сопровождаемости ко- да, степенипокрытия требованийи т.п.; ● контроль сцепления (связанности) по управлению и данным, то есть соблю- дение принятых ограничений на связи и способы взаимодействия между мо- дулями; ● отчётность обиспользованиипеременных. Конкретный набор применяемых ме- тодов контроля зависит от уровня без- опасности: для низких уровней всё обычно ограничивается функциональ- ным тестированием, для самых высоких может требоваться всё сразу. И это толь- ко если ограничиться требованиями к самому ПО , а если рассмотреть ещё и требования к процессу разработки (жиз- ненный цикл, трассировка требований, управление конфигурацией и т.п.), то параллелей будет ещё больше. Итут возникает резонный вопрос: коль скоро в основе обеспечения различных видов безопасности лежат одни и те же методы, и это подтверждено норматив- ной базой, то, может быть, возможен и единый практический подход, подкреп- лённый единымнабороминструменталь- ных средств. В третьей части статьи речь пойдёт о способах и возможных практических подходах к сокращению стоимости сер- тификации. Л ИТЕРАТУРА 1. Беспилотные авиационные системы (БАС) : циркуляр ICAO№ 328-AN/190 [Электрон- ный ресурс] // Режим доступа : http:// www.aerohelp.ru/data/432/Cir328.pdf. 2. Технические регламентыТаможенного сою- за [Электронный ресурс] // Режим доступа : http://www.tsouz.ru/db/techreglam/pages/tecni calreglament.aspx. 3. Транспортная стратегия Российской Феде- рации на период до 2030 года [Электрон- ный ресурс] // Режим доступа : http:// www.mintrans.ru/documents/detail.php?ELE MENT_ID=13008. 4. Документыпо сертификациисредств защиты информации и аттестации объектов инфор- матизациипо требованиямбезопасностиин- формации [Электронный ресурс] // Режим доступа : http://fstec.ru/tekhnicheskaya-zash- chita-informatsii/dokumenty-po-sertifikatsii. 5. Марков А.С., Цирлов В.Л., Барабанов А.В. Методы оценки несоответствия средств за- щиты информации. – М. : Радио и связь, 2012. 6. Adrien Derock, Patrick Hebrard, Frе dе rique Vallee. Convergence of the Latest Standards Ad- dressing Safety and Security for Information Technology [Электронный ресурс] // Режим доступа : http://web1.see.asso.fr/erts2010/Site/ 0ANDGY78/Fichier/PAPIERS%20ERTS%20 2010/ERTS2010_0067_final.pdf. 7. Об утверждении требований к обеспечению защитыинформации в автоматизированных системах управления производственными и технологическими процессами на критиче- скиважных объектах, потенциальноопасных объектах, а также объектах, представляющих повышенную опасность для жизни и здо- ровья людей и для окружающей природной среды : приказ ФСТЭК России от 14.03.2014 №31 [Электронный ресурс] // Режим досту- па : http://fstec.ru/rss-lenta/110-tekhnicheskaya- zashchita-informatsii/dokumenty/prikazy/864- prikaz-fstek-rossii-ot-14-marta-2014-g-n-31. ● Автор – сотрудник фирмы ПРОСОФТ Телефон: (495) 234-0636 E-mail: info@prosoft.ru 20 СТА 1/2015 ОБ ЗОР / П РОГ РАММНОЕ ОБ Е СП Е Ч Е НИЕ www.cta.ru ОФИЦИАЛЬНЫЙ ДИСТРИБЬЮТОР ПРОДУКЦИИ ICONICS Тел.: (495) 234-0636 • Факс: +7 (495) 234-0640 E-mail: info@prosoft.ru • Web: www.prosoft.ru