Образец регламента нефункционального тестирования программного обеспечения
Функциональный тест отвечает на вопрос «работает ли программа». Нефункциональный — «можно ли её сломать». Стандарт ГОСТ Р 56939-2024 называет так проверки сетевых и локальных интерфейсов, аутентификации, работы с секретами и конфиденциальными данными, устойчивости к нагрузке и другие проверки вне функций программы (пункт 5.19). Регламент закрепляет, какие версии так проверяются, какими методами, кем и по каким сценариям атак. Сценарии строятся от модели угроз и описания поверхности атаки.
Как получить документ
Два пути: сформировать в кабинете или купить готовый образец за 600 ₽.
Регламент нефункционального тестирования программного обеспечения по вашим данным
Документ собирается по самооценке процессов и перечню инструментов из мастера режима «Разработка безопасного ПО» — их ведут в кабинете. Анкета образца этого не посчитает, поэтому под вашу организацию он собирается в кабинете.
Что даёт кабинет
- ✓Документы с реквизитами и сведениями вашей организации, готовые к подписи
- ✓Сведения подставляются из того, что вы уже ввели, а пробелы видны до скачивания
- ✓Образцы заполнения во всех вариантах — для просмотра на платном тарифе, с файлами — при покупке документа
Раздел входит в тариф «Полный».
Что должно быть в документе
- критерии выбора версий и модулей для тестирования и периодичность;
- методы и средства нефункционального тестирования;
- обязанности и роли — кто тестирует и кто рассматривает результаты;
- типовые сценарии тестирования;
- возможности и мотивацию нарушителя по модели угроз;
- типовые сценарии компьютерных атак для основных сценариев работы программы.
Как оформить
- Возьмите из модели угроз нарушителя и его возможности, из описания поверхности атаки — интерфейсы, доступные извне.
- Для основных сценариев работы программы опишите, как нарушитель попытается их обойти.
- Решите, что делаете сами, а что поручаете привлечённой организации, например тестирование на проникновение.
- Установите периодичность: перед каждым выпуском, после изменений модулей поверхности атаки, раз в год целиком.
- Утвердите регламент и сверяйте каждый отчёт о тестировании с моделью угроз.
Сформируйте этот документ под свой профиль — с подстановкой реквизитов и без ошибок.
Сформировать в ГрамотаИБЧастые вопросы
Обязательно ли привлекать внешнюю организацию для тестирования на проникновение?
Нет. Объём нефункционального тестирования определяет сам разработчик (пункт 5.19.2.1 ГОСТ Р 56939-2024). Важно, чтобы тестировал не автор проверяемого модуля. Внешняя организация нужна, когда своей команде не хватает опыта или нужен взгляд со стороны.
Что делать, если тестирование нашло то, чего нет в модели угроз?
Исправить модель угроз, описание поверхности атаки и архитектуры. Стандарт прямо требует такой корректировки и сравнения этих документов с фактическими результатами (пункты 5.19.2.5 и 5.19.3.3 ГОСТ Р 56939-2024).
Документы того же комплекта
Входит в полный комплект
- Полный комплект документов по безопасной разработке программного обеспечения — 45 документов с образцами за одну организацию, 8 900 ₽
Все образцы раздела: Безопасная разработка ПО (ГОСТ Р 56939-2024).
Нормативная основа: ГОСТ Р 56939-2024 (разработка безопасного ПО). Подробный разбор — в статье «Проверки кода по ГОСТ Р 56939-2024: статический и динамический анализ, фаззинг, тестирование».
Материал носит справочный характер и не заменяет юридическую оценку под конкретную ситуацию.