ГОСТ Р МЭК 62279—2016
4.6 Если требование определено словами «до степени, требуемой уровнем полноты безопасно
сти программного обеспечения», то это указывает, что должен использоваться целый ряд методов и
мер. чтобы удовлетворить это требование.
4.7 Если применен 4.6. то для помощи в выборе методов и мер. соответствующих уровню полно
ты безопасности программного обеспечения, должны использоваться таблицы из приложенияА. Выбор
должен быть зарегистрирован в плане обеспечения качества программного обеспечения или в другом
документе, на который ссылается план обеспечения качества программного обеспечения. Указания к
этим методам даются в приложении D.
4.8 Если метод или мера, которая оценивается в таблицах как настоятельно рекомендуемая (HR),
не используется, то должно быть дано подробное объяснение для использования альтернативных ме
тодов и сделана запись или в плане обеспечения качества программного обеспечения или в другом
документе, на который ссылается план обеспечения качества программного обеспечения. В этом нет
необходимости, если используется одобренная комбинация методов, данная в соответствующей табли
це. Выбранные методы должны быть продемонстрированы для их правильного применения.
4.9 Если предложенный для использования метод или мера не содержится в таблицах, то его
эффективность и пригодность соответствовать определенному требованию и главной цели подраздела
должны быть обоснованы и зарегистрированы или в плане обеспечения качества программного обе
спечения или в другом документе, на который ссылается план обеспечения качества программного
обеспечения.
4.10 Соответствие требованиям определенного подраздела и их соответствующим методам и ме
рам. подробно описанным в таблицах, должно быть проверено с помощью контроля документов, тре
буемого настоящим стандартом. Где это необходимо, должны также быть учтены другие объективные
доказательства, проверка работы и наблюдение за проведением испытаний.
5 Организация и управление программным обеспечением
5.1 Организация, роли и обязанности
5.1.1 Цоль
5.1.1.1 Гарантировать, что весь персонал, у кого есть обязанности в области программного обе
спечения. был организован, имел полномочия и был способен к выполнению своих обязанностей.
П р и м е ч ан и е — Независимость между ролями может потребоваться для снижения возможности людей в
различных ролях, страдающих от тех же самых неправильных представлений или делающих те же самые ошибки.
Эта форма независимости может быть достигнута, используя различных людей в различных ролях, но обычно не
требует, чтобы роли были расположены в различных частях организации или в различных компаниях (если специ
ально не требуется). Также важно, что люди в ролях, которые включают формирование суждения о приемлемости
изделия или процесса с точки зрения безопасности, не должны быть под влиянием их коллег или непосредствен ных
руководителей, или коммерческой выгоды. Эта форма независимости, более вероятно, потребует, чтобы раз личные
роли были расположены в различных частях организации или были расположены в другой компании. В це лом
большая степень безопасности требует большей степени независимости для различных ролей и организации.
5.1.2 Требования
5.1.2.1 Как минимум, поставщик должен реализовать разделы ИСО 9001:2008, посвященные ор
ганизации и управлению персоналом и обязанностям.
5.1.2.2 Обязанности должны быть совместимы с требованиями, определенными в приложении В.
5.1.2.3 Персонал, назначенный на роли, включенные в разработку или поддержку программного
обеспечения, должен быть определен и зарегистрирован.
5.1.2.4 Оценщик должен быть назначен поставщиком, клиентом или полномочным органом по
безопасности.
5.1.2.5 Оценщик должен быть независим от поставщика. Однако на усмотрение полномочного
органа по безопасности оценщик может быть из организации поставщика или организации заказчика, но
не должен участвовать в разработке проекта.
5.1.2.6 Оценщик должен быть независим от проекта.
5.1.2.7 Оценщику необходимо обладать полномочиями для выполнения оценки программного
обеспечения.
5.1.2.8 Менеджер по проверке должен дать’не дать разрешение на выпуск программного обеспе
чения.
7