Сертификация программного обеспечения — это независимая оценка соответствия конкретного программного продукта установленным требованиям. В ходе работ фиксируются наименование и версия ПО, состав значимых модулей, заявленные функции, алгоритмы, способы идентификации, механизмы защиты и условия применения. При положительном результате оформляется сертификат соответствия, связанный не с абстрактным названием программы, а с определённой версией и подтверждённым объёмом характеристик.
Что именно подтверждает сертификат
Сертификат подтверждает соответствие только тем требованиям и характеристикам, которые включены в программу и методику испытаний и подтверждены протоколом. Он не является безусловной гарантией всех возможных свойств программного продукта и не заменяет обязательные процедуры, если они предусмотрены законодательством для конкретной продукции, средства измерений или информационной системы.
Что такое сертификация программного обеспечения
Сертификация программного обеспечения — это процедура подтверждения соответствия ПО требованиям, заранее определённым для конкретной работы. Такими требованиями могут быть положения национальных стандартов, правила системы добровольной сертификации, техническое задание, эксплуатационная документация, методика испытаний, стандарт организации, договор или иной согласованный документ.
Работы не сводятся к выдаче документа по заявлению. До принятия решения специалисты анализируют программную документацию, определяют объект и границы оценки, разрабатывают или уточняют методику, проводят испытания представленной версии и фиксируют результаты в протоколе.
Испытательная лаборатория программного обеспечения ФБУ «НИЦ ПМ – Ростест» проводит сертификационные испытания в рамках Системы добровольной сертификации программного обеспечения средств измерений — СДС ПО СИ. Решение о выдаче сертификата принимается органом по сертификации на основании результатов испытаний и материалов сертификационного досье.
Для чего и когда нужна сертификация ПО
К сертификации обращаются, когда разработчику, изготовителю, интегратору, пользователю или заказчику требуется документально подтверждённая оценка программного продукта независимой стороной. Состав проверок зависит от цели получения сертификата и реальных рисков применения ПО.
- для участия в закупках, конкурсах и тендерах, если требуется независимое подтверждение характеристик;
- для приёмки программного продукта по техническому заданию, договору или требованиям заказчика;
- для фиксации состава поставляемой версии, модулей, библиотек и контрольных сумм;
- для подтверждения правильности выполнения заявленных функций и вычислительных алгоритмов;
- для оценки защиты ПО и значимых данных от случайных и преднамеренных изменений;
- для внедрения программного продукта в промышленную, лабораторную, энергетическую, транспортную, нефтегазовую или иную техническую систему;
- для подтверждения характеристик ПО, влияющего на измерения, расчёты, учётные операции, управление оборудованием или формирование отчётности;
- для повышения доверия заказчиков, партнёров и пользователей к программному продукту.
Наиболее востребована сертификация программ, результаты работы которых используются для принятия технических решений, расчётов, измерений, коммерческого или технологического учёта, управления процессами, хранения значимой информации и подтверждения качества продукции.
Какие программные продукты могут быть объектами сертификации
Объектом оценки может быть самостоятельная программа, отдельный программный модуль, встроенное ПО, расчётная библиотека, веб-сервис или программно-аппаратный комплекс. Главное условие — возможность однозначно определить состав объекта, его версию или конфигурацию, заявленные функции и критерии соответствия.
ПО средств измерений
Встроенное и внешнее ПО приборов, контроллеров, вычислительных блоков, измерительных и информационно-измерительных систем.
Промышленные системы
ПО АСУ ТП, SCADA, диспетчерских систем, технологических установок, станков, испытательных стендов и оборудования.
Расчётные программы
Приложения, библиотеки и модули, реализующие нормативные формулы, инженерные модели, обработку экспериментальных данных и технические расчёты.
Лабораторные системы
ЛИМС, автоматизированные рабочие места, системы сбора результатов, программы поверки, испытаний, исследований и оформления протоколов.
Системы учёта
ПО коммерческого, производственного и технологического учёта энергии, газа, нефти, нефтепродуктов, воды и иных ресурсов.
Программно-аппаратные комплексы
Решения, в которых программная часть взаимодействует с техническими средствами и оценивается с учётом фактической конфигурации комплекса.
Веб-сервисы и облачное ПО
Сервисы и веб-приложения, для которых можно зафиксировать релиз, конфигурацию, среду развёртывания и порядок управления изменениями.
ПО с машинным обучением
Программные решения, использующие модели машинного обучения, если определены проверяемые функции, версия модели, исходные данные и воспроизводимые критерии оценки.
Также могут рассматриваться диагностические системы, программные средства хранения и передачи информации, мобильные приложения, программы игровых и лотерейных комплексов и иные специализированные решения, если для них установлены проверяемые требования.
Что проверяется при сертификационных испытаниях
Состав испытаний формируется индивидуально и закрепляется в методике. Не каждое программное обеспечение требует одинакового набора проверок: глубина оценки зависит от назначения, архитектуры, количества версий и модулей, наличия расчётных алгоритмов, баз данных, сетевого обмена, средств защиты и требований заявителя.
- Программная документация. Проверяются назначение ПО, область применения, структура, функции, интерфейсы, алгоритмы, системные требования, порядок установки, эксплуатации, обновления, защиты и идентификации. Документация должна позволять понять, что именно заявлено и каким способом это можно проверить.
- Функциональные характеристики. Подтверждается выполнение заявленных функций по руководству пользователя, техническому заданию, описанию программы или иным исходным требованиям. Для проверок устанавливаются сценарии, исходные данные, ожидаемые результаты и критерии оценки.
- Вычислительные алгоритмы. Результаты испытуемого ПО сопоставляются с контрольными примерами, независимыми расчётами, нормативными формулами, моделями, эталонными наборами данных или опорным программным средством.
- Идентификация программного обеспечения. Фиксируются наименование, версия, номер сборки, состав значимых файлов и модулей, цифровые идентификаторы, контрольные суммы и способ отображения версии пользователю.
- Разделение значимых и вспомогательных частей. Определяется, какие компоненты влияют на заявленные функции, расчётный результат, измерительную информацию, защиту, хранение и передачу данных, а какие не влияют на подтверждаемые характеристики.
- Защита ПО и данных. В зависимости от объекта оцениваются аутентификация, разграничение прав, контроль целостности, журналы событий, защита конфигурации, алгоритмов и значимых данных от непреднамеренного или несанкционированного изменения.
- Хранение и передача информации. Для ПО с базами данных, архивами, журналами, телеметрией и сетевым обменом проверяются корректность записи, передачи, восстановления, прослеживаемость, обработка ошибок и сохранение целостности данных.
- Обновление и управление версиями. Анализируется порядок установки обновлений, влияние нового релиза на идентификационные признаки и подтверждённые функции, а также необходимость дополнительной оценки изменённой версии.
Объём сертификата должен быть понятен
В сертификате и приложении целесообразно указывать не только название продукта, но и версии, назначение, область применения, проверенные характеристики, нормативные основания и документы, по которым можно идентифицировать сертифицированную конфигурацию.
Нормативная основа сертификации программного обеспечения
Правовая основа добровольной сертификации установлена статьёй 21 Федерального закона от 27 декабря 2002 г. № 184-ФЗ «О техническом регулировании»: добровольное подтверждение соответствия проводится по инициативе заявителя на условиях договора с органом по сертификации. Требования для оценки могут устанавливаться документами по стандартизации, правилами системы добровольной сертификации и условиями договора.
Для программного обеспечения средств измерений и программ, работающих с измерительной информацией, применяются, в частности, следующие национальные стандарты:
- ГОСТ Р 8.654-2015 «Государственная система обеспечения единства измерений. Требования к программному обеспечению средств измерений. Основные положения» — устанавливает требования к документации, идентификации, структуре, влиянию ПО на метрологические характеристики, защите программного обеспечения и измерительной информации;
- ГОСТ Р 8.883-2015 «Государственная система обеспечения единства измерений. Программное обеспечение средств измерений. Алгоритмы обработки, хранения, защиты и передачи измерительной информации. Методы испытаний» — устанавливает методы испытаний программного обеспечения средств измерений и его алгоритмов.
Для ПО, которое не является программным обеспечением средства измерений, указанные стандарты могут использоваться как методическая основа только в применимой части. Окончательный перечень требований определяется назначением объекта и целью сертификации.
| Процедура | Когда применяется | Основной результат |
|---|---|---|
| Добровольная сертификация ПО | Нужно отдельно подтвердить соответствие программного продукта выбранным требованиям | Протокол испытаний, решение о сертификации, сертификат и приложение |
| Проверка ПО при утверждении типа СИ | ПО входит в состав средства измерений, представленного на испытания в целях утверждения типа | Материалы испытаний средства измерений и сведения для описания типа |
| Приёмочные или договорные испытания | Требуется проверить выполнение технического задания или условий договора без выдачи сертификата | Протокол, акт или иной документ, установленный договором |
Добровольный сертификат не отменяет обязательную сертификацию, декларирование, государственную регистрацию, оценку соответствия требованиям информационной безопасности или утверждение типа средства измерений, если соответствующая процедура обязательна для конкретного объекта.
Как проходит сертификация программного обеспечения
Предварительное рассмотрение
Заявитель направляет краткое описание ПО, цель сертификации, сведения о версии и имеющуюся документацию. Лаборатория определяет принципиальную возможность и предполагаемый объём работ.
Заявка и определение требований
Фиксируются объект сертификации, заявитель, версии, нормативные документы, требования заказчика и ожидаемый комплект результатов.
Анализ документации
Специалисты оценивают достаточность материалов, выявляют недостающие сведения и при необходимости направляют замечания по документам.
Договор и планирование
После уточнения состава работ согласовываются условия договора, сроки, порядок доступа к ПО, стенду, оборудованию и исходным данным.
Методика испытаний
Устанавливаются проверяемые характеристики, методы, сценарии, исходные данные, ожидаемые результаты, критерии соответствия и формы фиксации доказательств.
Проведение испытаний
Проверки выполняются на идентифицированной версии ПО в лаборатории, удалённо, на испытательном стенде или на месте эксплуатации.
Протокол и сертификационное досье
Результаты каждой проверки документируются. Формируются протокол, приложения, идентификационные перечни и иные предусмотренные материалы.
Решение и реестр
Орган по сертификации рассматривает результаты. При положительном решении оформляются сертификат и приложение, а сведения публикуются в реестре СДС ПО СИ.
Что необходимо предоставить для начала работ
Для предварительной оценки не требуется сразу готовить полный комплект по ЕСПД. На первом этапе достаточно материалов, позволяющих понять назначение продукта, его состав и цель сертификации.
Минимальный комплект для предварительной оценки
- полное и сокращённое наименование программного обеспечения;
- назначение ПО и область его применения;
- сведения о разработчике, изготовителе, правообладателе и предполагаемом заявителе;
- номер версии либо перечень версий, которые планируется включить в область сертификации;
- краткое описание функций, архитектуры и состава программных модулей;
- цель сертификации и перечень документов или требований, соответствие которым нужно подтвердить.
Материалы, которые могут потребоваться при проведении испытаний
- руководство пользователя, оператора, администратора или системного программиста;
- описание программы, описание применения, пояснительная записка или иной документ об архитектуре и функциях;
- описание расчётных алгоритмов, формул, моделей и методов обработки данных;
- описание интерфейсов пользователя, программных интерфейсов и протоколов обмена;
- сведения о хранимых и передаваемых данных, базах, архивах и журналах;
- описание идентификации ПО: версия, номер сборки, перечень файлов, контрольные суммы;
- описание механизмов защиты, разграничения доступа, контроля целостности и регистрации событий;
- системные и аппаратные требования;
- инсталляционный комплект, исполняемые файлы или доступ к тестовой среде;
- тестовые примеры, контрольные данные, ожидаемые результаты и описание типовых сценариев;
- техническое задание, стандарты организации, договорные требования и иные критерии оценки;
- сведения о программно-аппаратной конфигурации, если ПО функционирует только в составе оборудования.
Обязательно ли предоставлять исходный код
Как правило, исходный код не требуется. Большинство проверок можно выполнить по документации, исполняемой версии, интерфейсам, тестовым сценариям, контрольным данным и фактическим результатам работы программы. Код или отдельные его фрагменты запрашиваются только тогда, когда без анализа реализации невозможно достоверно подтвердить конкретный алгоритм, механизм защиты или заявленную характеристику. Условия конфиденциальности при необходимости фиксируются в договоре.
Где проводятся испытания
Форма проведения работ зависит от архитектуры продукта. Автономная программа может быть установлена в лаборатории или предоставлена через защищённый удалённый доступ. Если ПО функционирует только в составе измерительной системы, промышленного объекта, оборудования или специализированного стенда, испытания могут проводиться на месте эксплуатации либо на стенде заявителя. Выбранный формат должен обеспечивать воспроизводимость проверок, идентификацию версии и надёжную фиксацию результатов.
Какие документы получает заказчик
Конкретный состав выдаваемых материалов определяется правилами системы, объектом сертификации и договором. Как правило, комплект включает:
- методику или программу и методику сертификационных испытаний;
- протокол сертификационных испытаний;
- сертификат соответствия;
- приложение к сертификату с назначением, областью применения и подтверждёнными характеристиками;
- перечень версий, значимых файлов, модулей, компонентов и идентификационных признаков;
- акт, экспертное заключение или иные документы, если они предусмотрены схемой и договором;
- право использования знака соответствия в порядке, установленном правилами СДС ПО СИ.
Сведения о выданном сертификате, программном продукте, заявителе, датах и статусе документа размещаются в открытом реестре сертификатов соответствия.
Версии, обновления и изменения после сертификации
Один из ключевых результатов работ — фиксация идентификационных признаков сертифицированной версии. После выпуска новой версии держателю сертификата необходимо оценить, затронуты ли заявленные функции, расчётные алгоритмы, значимые модули, механизмы защиты, хранение и передача данных.
Изменение контрольных сумм само по себе не всегда означает необходимость полной повторной сертификации, однако причина изменения и его влияние должны быть понятны. По результатам анализа может потребоваться подтверждение неизменности значимых функций, дополнительное испытание отдельных характеристик или сертификация новой версии.
Стоимость и сроки сертификации программного обеспечения
Универсальной цены для любого программного продукта нет. Объём работы зависит от количества версий и модулей, сложности архитектуры, числа проверяемых функций, наличия расчётных алгоритмов, средств защиты, сетевого обмена, испытательного стенда и требуемой доказательной базы.
После предварительного рассмотрения материалов лаборатория определяет:
- границы объекта сертификации;
- перечень проверяемых требований;
- необходимый состав документации;
- формат и место проведения испытаний;
- срок выполнения работ;
- стоимость и комплект итоговых документов.
Чем точнее заявитель определит цель сертификации, состав версии и ожидаемый результат, тем быстрее можно сформировать технически обоснованное предложение.
Частые вопросы о сертификации ПО
Является ли сертификация программного обеспечения обязательной?
Сертификация в СДС ПО СИ проводится добровольно по инициативе заявителя. Она не заменяет обязательные процедуры, которые могут быть установлены для конкретной продукции, средства измерений, информационной системы или области применения.
Можно ли получить сертификат только по документации?
Нет. Документация необходима для определения требований и сценариев, но решение должно опираться на результаты испытаний фактически представленной и идентифицированной версии программного обеспечения.
Обязательно ли предоставлять исходный код?
Обычно нет. Исходный код или отдельные фрагменты требуются только в ситуациях, когда заявленные алгоритмы или механизмы невозможно подтвердить по документации, исполняемой версии и результатам функциональных проверок.
Можно ли сертифицировать веб-приложение или облачный сервис?
Да, если можно определить объект оценки, релиз или конфигурацию, среду развёртывания, проверяемые функции и порядок управления изменениями. Для непрерывно обновляемых сервисов особенно важна идентификация сертифицированного состояния.
Можно ли включить в один сертификат несколько версий?
Это возможно, если различия между версиями проанализированы и выбран способ их однозначной идентификации. При необходимости оформляется отдельный перечень версий, модулей, файлов и контрольных сумм.
Можно ли сертифицировать ПО с машинным обучением?
Да, но методика должна учитывать особенности такого объекта: версию модели, конфигурацию, применяемые данные, воспроизводимость сценариев, допустимые показатели и границы заявленных функций.
Подходит ли добровольный сертификат для тендера или закупки?
Сертификат можно использовать как независимое подтверждение тех характеристик, которые в нём указаны. Однако окончательное решение о достаточности документа принимает заказчик закупки в соответствии с её требованиями.
Что делать после выпуска новой версии программы?
Следует направить описание изменений и новые идентификационные сведения. Специалисты оценят влияние изменений на подтверждённые характеристики и определят, требуется ли документальное подтверждение неизменности, дополнительная проверка или сертификация новой версии.
Материал актуализирован 2 сентября 2026 г..
Направьте назначение, версию и имеющуюся документацию. Специалисты лаборатории определят возможный состав работ, перечень исходных материалов и порядок дальнейшего взаимодействия.
Обсудить задачу