Tiêu chuẩn quốc gia TCVN 10607-4:2014 (hoàn toàn tương đương với tiêu chuẩn quốc tế ISO/IEC 15026-4:2012) về Kỹ thuật phần mềm và hệ thống - Đảm bảo phần mềm và hệ thống - Phần 4: Đảm bảo trong vòng đời do Bộ Khoa học và Công nghệ công bố. Tiêu chuẩn này tập trung vào việc thiết lập các yêu cầu và hướng dẫn mang tính hệ thống nhằm thực hiện, duy trì và đánh giá việc đảm bảo chất lượng, an toàn và an ninh của hệ thống và phần mềm trong suốt toàn bộ vòng đời của chúng.

Phạm vi và đối tượng áp dụng

TCVN 10607-4:2014 được xây dựng nhằm áp dụng rộng rãi trong lĩnh vực công nghệ thông tin, kỹ thuật hệ thống và phát triển phần mềm. Cụ thể:

• Phạm vi áp dụng: Tiêu chuẩn cung cấp các quy định và hướng dẫn để tích hợp các hoạt động đảm bảo vào các quy trình vòng đời của hệ thống và phần mềm (như các quy trình được định nghĩa trong TCVN ISO/IEC 15288 hoặc TCVN ISO/IEC 12207). Tiêu chuẩn này tập trung vào việc xây dựng và duy trì "Hồ sơ đảm bảo" (Assurance Case) để chứng minh hệ thống đạt được các thuộc tính mục tiêu.
• Đối tượng áp dụng: Các tổ chức phát triển phần mềm, nhà tích hợp hệ thống, các chuyên gia đánh giá độc lập, khách hàng và các bên liên quan chịu trách nhiệm quản lý, vận hành hoặc bảo trì các hệ thống có yêu cầu cao về tính an toàn, bảo mật và độ tin cậy.

Nội dung cốt lõi về Đảm bảo trong vòng đời

Tiêu chuẩn quy định chi tiết các nguyên tắc và hoạt động kỹ thuật cần thực hiện qua từng giai đoạn của vòng đời sản phẩm:

1. Khái niệm và vai trò của Hồ sơ đảm bảo (Assurance Case)

• Hồ sơ đảm bảo là một tập hợp các lập luận và bằng chứng rõ ràng, có cấu trúc nhằm chứng minh rằng hệ thống hoặc phần mềm đáp ứng đầy đủ các thuộc tính đảm bảo đã cam kết (như tính an toàn, tính bảo mật, khả năng phục hồi).
• Hồ sơ này không phải là tài liệu tĩnh mà phải được cập nhật liên tục tương ứng với những thay đổi của hệ thống trong suốt vòng đời.

2. Tích hợp hoạt động đảm bảo vào các giai đoạn vòng đời

• Giai đoạn khởi tạo và xác định yêu cầu: Xác định rõ ràng các thuộc tính đảm bảo cần thiết dựa trên bối cảnh sử dụng và phân tích rủi ro. Thiết lập các mục tiêu đảm bảo cụ thể và đưa chúng vào yêu cầu hệ thống.
• Giai đoạn thiết kế và phát triển: Thực hiện các giải pháp kỹ thuật để đạt được các thuộc tính đảm bảo. Đồng thời, thu thập các bằng chứng kỹ thuật thông qua hoạt động kiểm thử, phân tích mã nguồn, thẩm định thiết kế để đưa vào hồ sơ đảm bảo.
• Giai đoạn vận hành và bảo trì: Giám sát hoạt động thực tế của hệ thống để kiểm chứng xem các giả định trong hồ sơ đảm bảo có còn đúng hay không. Khi tiến hành nâng cấp hoặc sửa đổi phần mềm, hồ sơ đảm bảo phải được đánh giá lại và cập nhật tương ứng để tránh làm suy giảm tính an toàn, an ninh của hệ thống.
• Giai đoạn loại bỏ và tiêu hủy: Đảm bảo quá trình ngừng hoạt động hoặc tiêu hủy hệ thống/phần mềm được thực hiện an toàn, không làm rò rỉ thông tin nhạy cảm và không gây ra các rủi ro hệ thống mới.

3. Quản lý và đánh giá sự đảm bảo

• Các tổ chức phải thiết lập quy trình kiểm soát chất lượng và quản lý rủi ro đối với hồ sơ đảm bảo.
• Khuyến khích việc thực hiện đánh giá độc lập (Independent Assessment) bởi một bên thứ ba có thẩm quyền để đảm bảo tính khách quan và độ tin cậy của hồ sơ đảm bảo trước khi hệ thống được đưa vào vận hành chính thức.

Hiệu lực thi hành

Tiêu chuẩn quốc gia TCVN 10607-4:2014 có hiệu lực kể từ ngày công bố. Tiêu chuẩn này được áp dụng trên nguyên tắc tự nguyện, trừ trường hợp có các quy định pháp lý chuyên ngành hoặc các thỏa thuận hợp đồng bắt buộc phải áp dụng để đảm bảo an toàn hệ thống thông tin quốc gia và các công trình hạ tầng trọng điểm.