การตรวจสอบการตรวจสอบซอฟต์แวร์

"วัตถุประสงค์ของการตรวจสอบซอฟต์แวร์คือเพื่อให้การประเมินความสอดคล้องของผลิตภัณฑ์ซอฟต์แวร์และกระบวนการตามระเบียบข้อบังคับ มาตรฐาน แนวทาง แผน และขั้นตอนที่เกี่ยวข้องอย่างเป็นอิสระ" ^[3]แนะนำบทบาทต่อไปนี้:

• ผู้ริเริ่ม (ซึ่งอาจเป็นผู้จัดการในองค์กรที่ได้รับการตรวจสอบ ลูกค้าหรือตัวแทนผู้ใช้ขององค์กรที่ได้รับการตรวจสอบ หรือบุคคลที่สาม) ตัดสินใจเกี่ยวกับความจำเป็นในการตรวจสอบ กำหนดวัตถุประสงค์และขอบเขต ระบุเกณฑ์การประเมิน ระบุ ตรวจสอบบุคลากร ตัดสินใจว่าจะต้องดำเนินการติดตามผลใดบ้าง และแจกจ่ายรายงานการตรวจสอบ
• หัวหน้าผู้ตรวจประเมิน (ซึ่งต้องเป็นคน "ปราศจากอคติและมีอิทธิพลที่สามารถลดความสามารถของเขาเพื่อให้อิสระการประเมินผลวัตถุประสงค์") เป็นผู้รับผิดชอบในการบริหารงานเช่นการจัดเตรียมแผนการตรวจสอบและการประกอบและการจัดการทีมงานตรวจสอบและเพื่อให้มั่นใจว่า การตรวจสอบเป็นไปตามวัตถุประสงค์
• ผู้บันทึกจะบันทึกความผิดปกติ รายการดำเนินการ การตัดสินใจ และคำแนะนำจากทีมตรวจสอบ
• ผู้สอบบัญชี (ซึ่งจะต้องเป็นเหมือนหัวหน้าผู้ตรวจปราศจากอคติ) ตรวจสอบผลิตภัณฑ์ที่กำหนดไว้ในแผนการตรวจสอบเอกสารการสังเกตของพวกเขาและแนะนำการดำเนินการแก้ไข (อาจมีผู้ตรวจสอบบัญชีเพียงคนเดียว)
• องค์การตรวจสอบให้ประสานงานไปยังผู้ตรวจสอบและให้ข้อมูลทั้งหมดที่ร้องขอโดยผู้สอบบัญชี เมื่อการตรวจสอบเสร็จสิ้น องค์กรที่ได้รับการตรวจสอบควรดำเนินการแก้ไขและข้อเสนอแนะ

หลักการของการตรวจสอบต่อไปนี้ควรพบการสะท้อน: ^[4]

• ความทันเวลา:เฉพาะเมื่อกระบวนการและการเขียนโปรแกรมได้รับการตรวจสอบอย่างต่อเนื่องโดยคำนึงถึงความอ่อนไหวต่อข้อบกพร่องและจุดอ่อนที่อาจเกิดขึ้น แต่รวมถึงความต่อเนื่องของการวิเคราะห์จุดแข็งที่พบ หรือโดยการวิเคราะห์เชิงฟังก์ชันเปรียบเทียบกับแอปพลิเคชันที่คล้ายคลึงกัน กรอบที่อัปเดตแล้วสามารถ จะดำเนินต่อไป
• ความเปิดกว้างของแหล่งที่มา:ต้องมีการอ้างอิงที่ชัดเจนในการตรวจสอบโปรแกรมที่เข้ารหัส วิธีการจัดการโอเพนซอร์สจะต้องเข้าใจ เช่น โปรแกรมที่นำเสนอแอปพลิเคชันโอเพ่นซอร์สแต่ไม่ได้พิจารณาว่าเซิร์ฟเวอร์ IM เป็นโอเพ่นซอร์ส จะต้องถือว่ามีความสำคัญ ผู้ตรวจสอบบัญชีควรมีจุดยืนของตัวเองในกระบวนทัศน์ของความต้องการธรรมชาติโอเพนซอร์สภายในแอปพลิเคชันการเข้ารหัสลับ
• ความประณีต:กระบวนการตรวจสอบควรมุ่งเน้นไปที่มาตรฐานขั้นต่ำบางประการ กระบวนการตรวจสอบล่าสุดของซอฟต์แวร์เข้ารหัสมักจะแตกต่างกันอย่างมากในด้านคุณภาพ ในขอบเขตและประสิทธิภาพ และประสบการณ์ในการรับสื่อมักมีการรับรู้ที่แตกต่างกัน เนื่องจากความต้องการความรู้พิเศษในด้านหนึ่งและเพื่อให้สามารถอ่านโค้ดโปรแกรมได้และจากนั้นจึงมีความรู้เกี่ยวกับขั้นตอนการเข้ารหัสด้วย ผู้ใช้จำนวนมากถึงกับเชื่อถือข้อความยืนยันอย่างเป็นทางการที่สั้นที่สุด ความมุ่งมั่นส่วนบุคคลในฐานะผู้ตรวจสอบบัญชี เช่น ในด้านคุณภาพ ขนาด และประสิทธิผล จะต้องได้รับการประเมินโดยสะท้อนกลับสำหรับตัวคุณเองและต้องจัดทำเป็นเอกสารภายในการตรวจสอบ

• บริบททางการเงิน:จำเป็นต้องมีความโปร่งใสเพิ่มเติมเพื่อชี้แจงว่าซอฟต์แวร์ได้รับการพัฒนาในเชิงพาณิชย์หรือไม่ และการตรวจสอบได้รับการสนับสนุนในเชิงพาณิชย์หรือไม่ (การตรวจสอบแบบชำระเงิน) มันสร้างความแตกต่างไม่ว่าจะเป็นโครงการงานอดิเรก / ชุมชนส่วนตัวหรือว่า บริษัท การค้าอยู่เบื้องหลัง
• การอ้างอิงทางวิทยาศาสตร์ของมุมมองการเรียนรู้: การตรวจสอบแต่ละครั้งควรอธิบายสิ่งที่ค้นพบโดยละเอียดภายในบริบทและเน้นย้ำถึงความก้าวหน้าและความต้องการในการพัฒนาอย่างสร้างสรรค์ ผู้ตรวจสอบบัญชีไม่ใช่ผู้ปกครองของโครงการ แต่ทำหน้าที่เป็นที่ปรึกษา หากผู้ตรวจสอบถือเป็นส่วนหนึ่งของวงจรการเรียนรู้ของ PDCA ( PDCA = Plan-Do-Check-Act) ควรมีถัดจากคำอธิบายของช่องโหว่ที่ตรวจพบและคำอธิบายของโอกาสที่เป็นนวัตกรรมและการพัฒนาศักยภาพ
• การรวมวรรณกรรม:ผู้อ่านไม่ควรพึ่งพาผลการทบทวนเพียงเรื่องเดียว แต่ยังตัดสินตามวงจรของระบบการจัดการ (เช่น PDCA ดูด้านบน) เพื่อให้แน่ใจว่าทีมพัฒนาหรือผู้ตรวจสอบได้รับการจัดเตรียมและเตรียมพร้อม เพื่อดำเนินการวิเคราะห์เพิ่มเติมและในกระบวนการพัฒนาและทบทวนนั้นเปิดให้เรียนรู้และพิจารณาบันทึกของผู้อื่น รายการอ้างอิงควรแนบมากับการตรวจสอบในแต่ละกรณี
• การรวมคู่มือผู้ใช้และเอกสารประกอบ:ควรมีการตรวจสอบเพิ่มเติมว่ามีคู่มือและเอกสารทางเทคนิคหรือไม่ และหากมีการขยายเพิ่มเติม
• ระบุการอ้างอิงถึงนวัตกรรม:แอปพลิเคชันที่อนุญาตทั้งการส่งข้อความไปยังผู้ติดต่อออฟไลน์และออนไลน์ ดังนั้นการพิจารณาการแชทและอีเมลในแอปพลิเคชันเดียว - เช่นเดียวกับกรณีของ GoldBug - ควรได้รับการทดสอบด้วยลำดับความสำคัญสูง (เกณฑ์การแชทสถานะเพิ่มเติม ไปยังฟังก์ชันอีเมล) ผู้ตรวจสอบบัญชีควรเน้นที่การอ้างอิงถึงนวัตกรรมและสนับสนุนความต้องการด้านการวิจัยและพัฒนาเพิ่มเติม

นี้รายชื่อของหลักการการตรวจสอบสำหรับการใช้งานการเข้ารหัสลับอธิบาย - เกินกว่าวิธีการของการวิเคราะห์ทางเทคนิค - ค่านิยมหลักโดยเฉพาะอย่างยิ่งที่ควรจะนำมาพิจารณา

การตรวจสอบซอฟต์แวร์บางส่วนสามารถทำได้โดยใช้เครื่องมือวิเคราะห์แบบคงที่ที่วิเคราะห์โค้ดของแอปพลิเคชันและให้คะแนนความสอดคล้องกับมาตรฐาน แนวทางปฏิบัติ แนวทางปฏิบัติที่ดีที่สุด จากรายการเครื่องมือสำหรับการวิเคราะห์โค้ดแบบคงที่บางส่วนครอบคลุมสเปกตรัมขนาดใหญ่มากตั้งแต่โค้ดไปจนถึงการตรวจสอบสถาปัตยกรรม และสามารถใช้สำหรับการเปรียบเทียบได้