Tiêu chuẩn quốc gia TCVN 10607-1:2014 (hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 15026-1:2013) về Kỹ thuật phần mềm và hệ thống - Đảm bảo phần mềm và hệ thống - Phần 1: Khái niệm và từ vựng được ban hành năm 2014 bởi Bộ Khoa học và Công nghệ. Tiêu chuẩn này đóng vai trò nền tảng trong việc thiết lập một ngôn ngữ chung, định nghĩa các khái niệm cốt lõi và cấu trúc thuật ngữ phục vụ cho công tác đảm bảo chất lượng, an toàn và an ninh của các hệ thống thông tin và sản phẩm phần mềm tại Việt Nam.

Phạm vi và đối tượng áp dụng của tiêu chuẩn

• Phạm vi áp dụng: Tiêu chuẩn này đưa ra các khái niệm cơ bản và từ vựng chuyên ngành liên quan đến việc đảm bảo phần mềm và hệ thống. Đây là cơ sở lý thuyết để xây dựng các hồ sơ đảm bảo (assurance cases) và xác định mức độ toàn vẹn của hệ thống trong suốt vòng đời phát triển, vận hành và bảo trì.
• Đối tượng áp dụng: Tiêu chuẩn hướng tới các tổ chức phát triển phần mềm, các nhà tích hợp hệ thống, chuyên gia đánh giá độc lập, khách hàng và các bên liên quan có nhu cầu thiết lập niềm tin vững chắc vào tính an toàn, an ninh và độ tin cậy của sản phẩm công nghệ thông tin.

Các nội dung cốt lõi của TCVN 10607-1:2014

1. Khái niệm về sự đảm bảo (Assurance)

Sự đảm bảo trong kỹ thuật phần mềm và hệ thống được định nghĩa là mức độ tự tin hoặc sự tin cậy vững chắc rằng các thuộc tính mục tiêu của hệ thống (như tính an toàn, tính bảo mật, độ tin cậy) đã được đáp ứng đầy đủ. Sự đảm bảo này không chỉ dựa trên cảm tính mà phải được chứng minh thông qua một quy trình lập luận chặt chẽ và các bằng chứng khách quan thu thập được trong quá trình phát triển và vận hành.

2. Cấu trúc và vai trò của Hồ sơ đảm bảo (Assurance Case)

Tiêu chuẩn nhấn mạnh tầm quan trọng của Hồ sơ đảm bảo như một phương tiện để truyền tải và chứng minh tính chất lượng của hệ thống. Một hồ sơ đảm bảo tiêu chuẩn bao gồm ba thành phần chính:

• Mục tiêu (Claims): Các khẳng định cụ thể về thuộc tính hoặc trạng thái mong muốn của hệ thống (ví dụ: hệ thống không bị gián đoạn hoạt động quá thời gian quy định hoặc hệ thống không chứa lỗ hổng bảo mật nghiêm trọng).
• Lập luận (Arguments): Chuỗi logic kết nối các bằng chứng thực tế với mục tiêu đề ra, giải thích tại sao các bằng chứng đó lại đủ để chứng minh mục tiêu là đúng đắn.
• Bằng chứng (Evidence): Các dữ liệu thực tế thu thập được từ quá trình kiểm thử, phân tích mã nguồn, tài liệu thiết kế, hoặc lịch sử vận hành thực tế của hệ thống.

3. Hệ thống thuật ngữ và định nghĩa chuẩn hóa

Để tránh sự mơ hồ và không nhất quán trong giao tiếp giữa các bên tham gia dự án, tiêu chuẩn cung cấp định nghĩa chuẩn hóa cho các thuật ngữ chuyên ngành quan trọng, bao gồm:

• Mức độ toàn vẹn (Integrity Level): Giá trị thể hiện yêu cầu về mặt kỹ thuật nhằm giảm thiểu rủi ro của hệ thống xuống mức chấp nhận được.
• Rủi ro (Risk): Sự kết hợp giữa xác suất xảy ra một sự kiện không mong muốn và mức độ nghiêm trọng của hậu quả do sự kiện đó gây ra.
• Mối đe dọa (Threat): Bất kỳ tác nhân hoặc điều kiện nào có khả năng gây hại cho hệ thống hoặc làm giảm tính đảm bảo của hệ thống.
• Lỗ hổng (Vulnerability): Điểm yếu trong hệ thống hoặc phần mềm có thể bị khai thác dẫn đến việc vi phạm các thuộc tính đảm bảo.

4. Định hướng tích hợp trong vòng đời hệ thống

Tiêu chuẩn chỉ ra rằng hoạt động đảm bảo không phải là một bước độc lập được thực hiện ở giai đoạn cuối, mà phải được tích hợp xuyên suốt vào mọi giai đoạn của vòng đời phát triển hệ thống và phần mềm, từ khâu xác định yêu cầu, thiết kế, kiểm thử cho đến vận hành và bảo trì.

Hiệu lực thi hành

Tiêu chuẩn quốc gia TCVN 10607-1:2014 có hiệu lực kể từ ngày ban hành. Việc áp dụng tiêu chuẩn này giúp các doanh nghiệp công nghệ thông tin tại Việt Nam chuẩn hóa quy trình kiểm soát chất lượng theo tiêu chuẩn quốc tế ISO/IEC, nâng cao năng lực cạnh tranh và uy tín của sản phẩm phần mềm trên thị trường trong và ngoài nước.