Tomasz Kaczanowski wrote:

> Michal Kleczek pisze:
>> Tomasz Kaczanowski wrote:
>>
>> [ciach]
>>> Po prostu -
>>> certyfikowany powinien być wyrób, jeśli tego wymaga i tak jest już
>>> teraz...
>>
>> Tyle ze certyfikacja wyrobu polega najczesciej na weryfikacji procesu
>> wytworczego danego wyrobu (a nie wyrobu jako takiego). Wynika to z
>> szeregu przyczyn m.in:
>> 1. Wyrob jest zbyt skomplikowany, aby mozna go sprawdzic w rozsadnym
>> czasie i za rozsadna cene.
>
> A jednak się sprawdza. Są laboratoria, które wykonują standardowe testy,
> jak zachowa się np urządzenie elektroniczne w polu magnetycznym i wiele
> innych testów.
>

Zgadza sie. Ale nie mozna tego uznac za wystarczajace. Co gorsza - jak
weryfikujemy te laboratoria? Skad wiemy, ze wykonane testy sa "dobre" i
wykonane byly sumiennie? Predzej, czy pozniej sprowadza sie to do kwestii
_zaufania_ do osob lub instytucji, ktore wykonuja powierzona im prace.
Innymi slowy - od certyfikacji osob (nie produktow) nie uciekniesz.

[ciach]
>> 3. Sa takie wymagania, ze ich weryfikacja poprzez testowanie jest w
>> praktyce niemozliwa (np. bezpieczenistwo systemow informatycznych).
>>
>> Przykladem jest chociazby certyfikacja bezp. syst. informatycznych DoD
>> (poziomy A,B,C i warianty) - wymagania dotycza np. tego, ze przy
>> projektowaniu i implementacji systemu bierze udzial wykwalifikowana (w
>> sensie "z odpowiednim wyksztalceniem i dosw.") kadra.
>
> Czyli nie mówi nic o jakości wyrobu.
>

"Nic" to chyba za duzo powiedziane - cos jednak mowi. Problem polega na tym,
ze nie jestesmy w stanie zweryfikowac czy dany system jest "bezpieczny"
poprzez wykonanie testow na tymze systemie. Weryfikacja budowy systemu
(czyli np. m.in audyt kodu zrodlowego) jest zazwyczaj zbyt drogi.

Zreszta - patrz wyzej - tak czy inaczej audyt i/lub testy musza byc wykonane
przez kogos, komu mozna zaufac, ze zna sie na tym, co robi.

--
Michal