标准符合性测试流程和定义
符合性测试与实质性测试
符合性测试（Compliance Testing）符合性测试是指审计人员在了解内控制度后，对那些准备信赖的控制系统的实施情况和有效程度进行的测试，也称为遵循性测试。
符合性测试的根本目的是：查明被审计单位的各项控制措施是否都真实地存在于生产经营等各项管理活动中，是否确确实实、始终如一地遵守了制度规定的全部要求，是否真正发挥了作用，其遵循制度的程度如何，有无失控和不完善之处。
进行符合性测试一般可以采用以下三种方法：1.追踪法。
又称为检查证据法。
审计人员检查与该业务有关的凭证、账簿和报表等资料是否已按内部控制制度的规定认真贯彻执行。
2.实验法。
又称为重做法。
审计人员按照内部控制制度的要求，对有关业务重新做一 遍，以查明有关人员是否遵循了内部控制制度的规定。
3.观察法。
审计人员在不通知有关人员的情况下，到工作现场实地观察工作人员是否按照制度的规定进行业务处理。
符合性测试一般采用抽样的方法进行，测试的范围和数量取决于于内部控制的初步评价结果。
经过初步评价，若认为被审单位的内部控制系统较为健全，则测试的范围可较小；若认为被审单位的内部控制系统不太健全，就应相应地扩大测试的范围和抽样的数量。
实质性测试（substantive testing）实质性测试是指在符合性测试的基础上，为取得直接证据而运用检查、监盘、观察、查询及函证、计算、分析性复核等方法，对被审计单位会计报表的真实性和财务收支的合法性进行审查，以得出审计结论的过程。
实质性测试是审计实施阶段中最重要的一项工作。
实质性测试的目的是为取得审计人员赖以作出审计结论的足够的审计证据。
实质性测试通常采用抽样方式进行，其抽样的规模需根据内部控制的评价和符合性测试的结果来确定。
审计人员在实质性测试中要做以下主要工作：1、盘点实物审计人员对有形资产账户所记载的内容均应进行实物盘点，包括库存现金、有价证券、材料、固定资产、在产品和产成品等，通过盘点确定财产物资的实际情况。
TCM符合性测试
第55卷第1期 2009年2月武汉大学学报(理学版)J.Wuhan Univ.(Nat.Sci.Ed.)Vol.55No.1 Feb.2009,031～034 收稿日期:2008204228 通讯联系人 E 2mail :feng @基金项目:国家高技术研究发展计划(863)项目(2007AA01Z412)作者简介:李 昊(19832),男,博士生,现从事网络与系统安全的研究. E 2mail :lihao @文章编号:167128836(2009)0120031204可信密码模块符合性测试方法与实施李 昊,冯登国 ,陈小峰(信息安全国家重点实验室/中国科学院软件研究所,北京100190) 摘 要:提出了一种有效的可信密码模块符合性测试方法,给出了衡量指标,并按照该指标对测试进行了测试分层,利用可信密码模块(TCM )内部命令的依赖关系建模获取测试用例.由于该方法分别在功能层采用扩展有限状态机模型、在命令层采用等价类划分法获取测试用例,所以能对现有TCM 产品实施更加完备的符合性测试.测试结果表明:与其他TCM 测试方法相比,本测试方法具有较高的测试效率,能够发现更多产品不符合标准带来的问题.关 键 词:可信密码模块;符合性测试;扩展有限状态机模型;等价类测试中图分类号:TP 309 文献标识码:A0 引 言 可信密码模块(t rusted cryptograp hy module ,TCM )符合性测试是指采用独立的测试方法参照国家相关标准对TCM 产品的标准符合程度进行测试.目前,国际可信计算组织TCG (trusted comp u 2ting group )推出了可信平台模块(t rusted platform module ,TPM )芯片以及相关的一系列标准和规范[1].同时,针对TCM 芯片的相关的测试评估工作也陆续展开[2～5].在国内,国家密码管理局于2007年出台了可信计算平台的国家标准《可信计算密码支撑平台功能与接口规范》[6].但是针对可信计算产品的符合性测试工作,国内才刚刚开始展开,到目前为止,仍然缺乏一种有效的可信计算产品符合性测试方法.文献[4]采用针对可信平台模块内每个命令开发测试用例的方式对可信平台模块的符合性测试进行了实施,发现了一些产品不符合标准带来的问题,指出了符合性测试的重要性.但是该文献并没有提出高效的测试框架和测试方法,测试结果无法给出产品符合标准的程度.本文在可信计算平台的国家标准《可信计算密码支撑平台功能与接口规范》基础上对TCM 芯片的符合性测试工作进行了研究和实施.提出了一种新的TCM 芯片的符合性测试框架和测试方法及测试覆盖度分析,按照这种框架和测试方法,对市场上的主流TCM 产品进行了符合性测试,通过结果分析,表明本方法在效率及覆盖度的分析上具有明显的优势,是一种行之有效的可信计算产品符合性测试方法.1 设计与计算方法1.1 框架设计本文提出的测试的框架,包括符合度的衡量指标、测试分层及每层采用的测试方法.TCM 芯片的符合度衡量分为4个指标:功能性,可靠性,鲁棒性,安全性.●功能性指标衡量的是TCM 产品对标准中功能需求的完成程度.●可靠性与鲁棒性指标分别衡量的是TCM 产品在接收到合法与不合法输入时,输出与标准符合的程度.●安全性指标只关注那些在国家标准《可信计算密码支撑平台功能与接口规范》中明确提出的安全性要求,比如字典攻击等.从单条TCM 命令的执行来看,TCM 就是一个黑盒,根据输入计算输出.因此可以认为TCM 是一个有着清晰规范接口的软件模块,并采用类似软件武汉大学学报(理学版)第55卷模块的测试技术[7,8].从TCM功能层面考虑,TCM符合性测试不仅仅需要测试单条命令对于规范的符合性,还需要测试若干条命令的组合使用是否符合规范.因此本文提出一种新的测试框架,不同的测试层采用不同测试指标和不同测试方法,如图1所示.图1 TCM符合性测试框架由图1可以看出,命令层进行的是较低层的单条命令的符合性测试,针对的符合度指标为可靠性与鲁棒性.为了保持测试空间的可执行性,本文采用了等价类划分法来对测试空间进行约减.其中,有效等价类获得的测试用例,测试的是合法输入的情况下,TCM产品的输出对规范的符合程度,针对的是可靠性指标;无效等价类获得的测试用例,测试的是非法输入的情况下,TCM产品的输出对规范的符合程度,针对的是鲁棒性指标.功能层进行的是较高层的TCM各种功能的符合性测试,针对的符合度指标为功能性和安全性.1.2 指标符合度计算方法测试结果的指标符合度采用如下的公式进行计算:W F=C1・Q F(1)W S=C1・Q S(2)W R=C2・Q R(3)W O=C2・Q O(4)V F=C1・(1-Q F)(5)V S=C1・(1-Q S)(6)V R=C2・(1-Q R)(7)V O=C2・(1-Q O)(8)其中C1,C2分别是功能层与命令层的测试覆盖度,即测试用例对标准的覆盖范围.Q F,Q S,Q R,Q O分别为功能性、安全性、可靠性、鲁棒性测试符合度,即为各指标测试用例通过的个数与该指标测试用例总数的比值,而测试不符合度为各指标测试用例不通过的个数与该指标测试用例总数的比值.两者之和等于1.W F,W S,W R,W O分别为功能性、安全性、可靠性、鲁棒性指标符合度,是表达TCM产品对标准符合程度的百分数,是测试结果的最终体现.V F,V S, V R,V O分别为功能性、安全性、可靠性、鲁棒性指标不符合度,是表达TCM产品对标准不符合的程度的百分数.由于受到测试覆盖度的影响,每个指标符合度与指标不符合度之和都小于等于1.2 测试的实施方法2.1 功能层功能层测试用例产生的具体步骤如下:Step1 根据规范将TCM划分为23个模块[6].每个模块由若干条TCM命令组成,完成TCM的特定功能.Step2 为每一个模块生成其内部命令的依赖关系图.Step3 根据每个模块的命令依赖关系图,建立EFSM模型[9].每个状态是由模块内部命令针对的TCM资源等变量组成.Step4 根据EFSM模型,获得测试用例[9,10].Step5 根据测试用例,进行功能层的符合性测试.其中,第4步从EFSM获取测试用例,本文以Owner管理模块为例说明这一过程.Owner管理模块共有5条命令,但是依赖关系只有两个,如图2所示.图2 Owner管理模块命令依赖关系图依赖关系是指某命令的执行需要一些其他命令的成功执行.由图2可以看出:TCM_OwnerClear 以及TCM_DisableOwnerClear依赖于TCM_ TakeOwnership命令的成功执行,所以它们之间具有依赖关系.而TCM_DisableOwnerClear命令的执行,只是影响到TCM_OwnerClear的执行成功与否,但是它们之间并不存在依赖的关系.同理,TCM _DisableForceClear也与其他命令不具有依赖关系.根据得到的依赖关系图,Owner管理模块的扩展有限状态机模型如图3所示.图3模型中共有两个状态:S1表示无Owner 状态,S2表示有Owner状态.迁移共有7个,迁移的格式为:事件[转移条件]/转移完成后的执行动作序列,比如迁移TCM_ForceClear[ForceClear Ena223第1期李 昊等:可信密码模块符合性测试方法与实施图3 Owner 管理模块扩展有限状态机模型bled ]/Clear Owner 表示当模型处于无Owner 状态时,如果ForceClear 是Enable 的,那么就可以执行迁移事件TCM_ForceClear ,目的状态仍然为S 1,并且要完成Clear Owner 的动作.然后通过等价类划分法从EFSM 模型获得完备的测试用例集[9].2.2 命令层一个TCM 命令的执行往往隐式地需要很多其他命令的成功执行,为了把关注点集中在被测命令上,本文将被测命令隐式需要的其他命令的执行结果也作为被测试命令的参数.用测试向量的方式来组织命令层测试用例.一个测试向量包括被测命令本身需要参数P 1,P 2,P 3,…,P n ,还包括隐式需要的其他命令执行结果R 1,R 2,R 3,…,R n ,那么某个测试向量V =P 1∧P 2∧P 3∧…∧P n ∧R 1∧R 2∧R 3∧…∧R n .其中,P m 的取值范围是{等价类1,等价类2,…},1≤m ≤n.R m 的取值范围是{等价类1′,等价类2′,…},1≤m ≤n .按照常用的等价类测试原则,即可得到测试向量.3 结果与分析本文对市场上两款主流TCM 芯片做了符合性测试,并按照公式1～4计算出产品对标准的符合程度,结果如表1所示. 其中,由于无法对安全性测试用例覆盖度进行分析,所以其指标符合度不确定. 从表1可以清楚的看出产品对标准的符合程度.而目前其他对可信芯片的符合性测试工作[4],都无法清晰的给出产品符合度.同时,由于本文的测试方法采用扩展有限状态机及等价类划分法获取测试用例,使得在测试的覆盖度分析,可扩展性,高效性等方面都具有更大优势.本文和鲁尔大学方案的对比如表2所示.表1 测试结果指标符合度例数产品1产品2功能性5320.920.89安全性18≤0.88≤0.88可靠性1050.950.90鲁棒性2110.890.84表2 鲁尔大学方案和本文的方案的比较比较项目文献[4]方案本文方案结果可追溯性无差别无差别测试公正性无差别无差别结果可比较性无差别无差别测试高效性较低较高可扩展性弱强覆盖度分析无有符合度分析粗略详细对测试人员要求高低 同时,由于本文采用的测试方法能够明晰的给出指标符合度的结果,所以使得测试更加的完备,能够发现更多TCM 产品不符合标准带来的问题.而这些问题是其他测试方法不能全部发现的.具体问题如下:①资源句柄:资源句柄的生成必须是无序随机的.而经过测试发现被测产品中有些TCM 芯片对密钥句柄的产生是有序的.这样新产生的密钥句柄就缺少了新鲜性的保证.如果攻击者有能力从TCM 中释放一个密钥,那么就会造成中间人攻击.②命令码:命令码是用于标识所调用TCM 命令的参数.而在被测产品中,有些命令码的基数设置与标准不符.虽然不会带来安全问题,但是对基于TCM 芯片的软件的通用性造成了很大问题.③授权值:在授权值的测试中,出现了两个问题.一个是授权值的计算并没有严格按照标准进行,每个产品都或多或少的做了改变,对产品的兼容性造成影响.另一个问题是安全方面的问题.在无授权操作模式下,使用资源是不需要提供授权数据的.如果提供了授权数据,按照规范应该提示错误.而测试中发现,厂商的TCM 产品并没有严格遵守这一规定,在使用无授权资源时,如果用户提供了授权数据,TCM 将正常运行,没有任何错误提示.这会带来用户认知与实际中授权数据使用与否的差异,这种差异会带来安全问题.④命令返回码:TCM 产品有时会返回产品内部定义的返回码,而非规范中的定义的.这种问题会33武汉大学学报(理学版)第55卷给攻击者以机会.通过分析这些TCM内部值,攻击者将找到TCM产品的漏洞,从而实施攻击.4 结 论本文主要关注于TCM产品的符合性测试的研究和实施,提出了TCM符合性测试框架和方法,并对TCM产品实施了测试.本文的测试方法划分了符合性度量指标与测试方法,并将测试分为命令层与功能层,分别采用等价类划分和EFSM模型来获取测试用例.最后通过结果分析及与其他符合性测试工作的对比,表明本文测试方法能全面地发现产品不符合标准带来的问题,并且在测试的高效性等方面具有优势.参考文献:[1] Trusted Computing Group.TPM Main Specification:Design Principles V1.2[EB/OL].[2007212217].ht2 t p://w w w.t rustedcom p uting g rou p.[2] Atmel Corporation.A T97SC3201Security TargetVersion2.3[EB/OL].[2007212221].htt p://w w w.commoncriteria /f iles/ep f iles/S T_V I D2 30052S T.p d f.[3] Atmel Corporation.A T97SC3201:The Atmel TrustedPlatform Module[EB/OL].[2007212229].htt p://w w /d y n/resources/p rod_documents/doc5010.p d f.[4] Ahmad2Reza S,Marcel S,Christian S,et al.TCG Inside:A Note on TPM Specification Compliance[C]//Proceed2ings of the Fi rst A CM Workshop on Scalable TrustedCom puting.New Y ork:ACM Press,2006:47256.[5] Danilo B,Lorenzo C,Andrea L,et al.Replay Attack inTCG Specification and Solution[C]//21th A nnualCom puter Securit y A p plication Conf erence(A CS A C’05).Tucson:IEEE Press,2005:1272137.[6] 国家密码管理局.可信计算密码支撑平台功能与接口规范[EB/OL].[2007211226].htt p://w w w.oscca./Doc/6/N ews_1132.htm.OSCCA.Functionality and Interface Specification ofCryptographic Support Platform for Trusted Compu2ting[EB/OL].[2007211226].htt p://w w w.oscca./Doc/6/N ews_1132.htm(Ch).[7] Beizer B.B lack2B ox Testing:Techniques f or Func2tional Testing of S of tw are and S ystems[M].NewY ork:John Wiley&Sons Press,1995.[8] Beizer B.S of tw are Testing Techniques[M].NewY ork:International Thomson Computer Press,1990. [9] 易国洪,卢炎生.基于EFSM模型的等价类测试[J].计算机科学,2007,34(1):2812284.Y i Guohong,Lu Y ansheng.Equivalence T esting Based onEFSM[J].Com puter Science,2007,34(1):2812284(Ch).[10]Cheng K T.Automatic G eneration of Functional VectorsUsing the Extended Finite StateMachine Model[C]//A CM Transactions oil Desi gn A utomation of ElectronicS ystems.New Y ork:ACM Press,1996:57279.Compliant T esting Method of T rusted Cryptography ModuleL I H ao,FENG Dengguo,CHEN Xiaofeng(State Key Laboratory of Information Security/Institute of Software of Chinese Academy of Sciences,Bejing100190,China) Abstract:An effective compliant testing met hod is p roposed in t his paper,which brings forward four scale indexes,dividing t he testing job into two layers.This met hod uses EFSM and equivalence testing skills to get test cases.Then we p ro secute t he testing job which coveres t he whole specification successf ul2 ly.Finally,by analyzing t he testing result s,t his paper shows t hat t he p roposed met hod,when compared wit h t he ot her TCM testing met hods,is more effective in detecting t he problems caused by t he product s not conforming wit h t he standard.K ey w ords:t rusted cryptograp hy module;compliant test;extended finite state machine model;equiv2 alence test43。
测试标准流程
测试标准流程一、概述。
测试标准流程是指在软件开发过程中，为了保证软件质量和稳定性，对软件进行全面、系统的测试，以发现并修复潜在的缺陷和问题。
测试标准流程是测试工作的指导性文件，对测试活动的组织、管理和实施起到重要的指导作用。
本文将详细介绍测试标准流程的具体内容和实施步骤。
二、测试标准流程内容。
1. 测试计划编制。
测试计划是测试工作的重要组成部分，它包括测试目标、测试范围、测试任务、测试资源、测试进度、测试方法、测试环境、测试工具等内容。
测试计划的编制需要充分考虑项目的实际情况和需求，确保测试活动能够有效地开展。
2. 测试用例设计。
测试用例是测试工作的核心，它是根据需求和设计文档编写的，用来验证软件功能和性能是否符合要求的测试脚本。
测试用例设计需要全面考虑软件的各项功能和业务流程，覆盖各种正常和异常情况，确保测试的全面性和有效性。
3. 测试环境搭建。
测试环境是进行测试活动的基础，包括硬件设备、软件系统、网络环境等。
测试环境搭建需要根据项目的实际情况和需求，确保测试环境的稳定性和可靠性，为测试活动提供良好的支持。
4. 测试执行与记录。
测试执行是根据测试用例进行测试活动，包括手工测试和自动化测试。
测试记录是对测试活动的结果和问题进行记录和分析，为问题定位和修复提供依据。
5. 缺陷管理。
缺陷管理是对测试过程中发现的问题进行管理和跟踪，包括缺陷的提交、分析、确认、修复和验证等环节。
缺陷管理需要确保问题能够及时有效地得到解决，保证软件质量和稳定性。
6. 测试报告编写。
测试报告是对测试活动的结果和问题进行总结和分析的文档，包括测试执行情况、问题统计、风险评估等内容。
测试报告需要清晰准确地反映测试活动的情况，为项目决策提供依据。
三、测试标准流程实施步骤。
1. 制定测试计划。
根据项目的实际情况和需求，制定详细的测试计划，明确测试目标、范围、任务、资源、进度、方法、环境等内容。
2. 设计测试用例。
根据需求和设计文档，设计全面、有效的测试用例，确保覆盖软件的各项功能和业务流程。
RFID复习题
RFID复习题一、概念题1、RFID常称为感应式电子晶片或近接卡、感应卡、非接触卡、电子条码等等，俗称是什么。
2、RFID按工作频率可以分为几种。
3、什么是一种能将接收到的电磁波转换为电流信号，或者将电流信号转换成电磁波的装置，在RFID系统中，射频标签和读写器中都包含该装置。
4、我国UHF RFID的主要频段。
5、典型的RFID系统主要构成，一般我们把中间件和应用软件统称为应用系统。
6、什么是一个捕捉和处理RFID标签数据的设备，它能够将数据写到RFID标签中，可以是单独的个体，也可以嵌入到其他系统之中。
7、RFID中间件平台主要分为哪3个层次。
8、RFID系统的安全和隐私威胁涉及的对象主要隐患。
9、RFID系统测试的内容也主要包括内容。
10、EPC编码原则。
11、RFID系统是指采用RFID电子标签为识别标志的应用系统，通常由几部分造成。
12、掌握RFID的应用在哪几个方面。
13、13.56MHz RFID标签的应用在哪些领域。
14、13.56MHz RFID标签是什么15、13.56MHz标签读写器16、在物品识别技术中，哪项不是“有生命”识别技术。
（）17、接触式逻辑加密卡的应用领域。
18、 RFID技术特征。
19、读写器中负责将读写器中的电流信号转换成射频载波信号并发送给电子标签，或者接收标签发送过来的射频载波信号并将其转化为电流信号的设备是什么。
20、什么是一个微型的无线收发装置，主要由内置天线和芯片组成。
二、综合技能题1、RFID系统工作原理图，根据图，简述该系统的工作原理。
2、简述RFID工作频率的分类及主要应用领域。
3、比较EPC和UID标准，分析其主要区别。
4、电子标签的内部结构，描述各模块的功能。
5、RFID中间件系统架构，描述下图中“设备驱动适配”、“事件处理引擎”、“规则引擎”、“规则库”的功能。
6、简述逻辑加密卡的主要应用领域7、什么是125KHZID卡，他的主要优点是什么？8、13.56MHz RFID标签的特点是什么，主要应用领域有哪些9、每章课后作业。
标准符合性测试的国内外比较及对策分析
标准符合性测试的国内外比较及对策分析国内外标准符合性测试工作在近些年发展迅速，对国内外符合性测试标准在数量、质量上进行对比，进而分析标准符合性测试现阶段的发展情况，探究其发展轨迹和发展特点，并提出我国在标准符合性测试工作方面的问题和对策。
标签：符合性测试；标准；对比分析；对策1标准符合性测试概述国家标准GB/T20000.1《标准化工作指南第1部分：标准化和相关活动的通用词汇》中，标准的定义是“为了在一定的范围内获得最佳秩序，经协商一致制定并由公认的机构批准，共同使用和重复使用的一种规范性文件”。
而对于符合性的定义在不同的标准中表述有所不同，如在GB/T 17694-1999《地理信息技术基本术语》中符合性是指全部指定的要求均得到满足，在GB/T 17548-2008《信息技术POSIX标准符合性的测试方法规范和测试方法实现的要求和指南》中，符合性被定义为产品、过程或服务所实现的所有规定的符合性要求。
在本文中，将符合性总结为：产品、过程、或服务等活动及有关结果是否符合规范要求。
标准符合性测试是依据一个标准的描述对标准的某个实现进行测试，判别一个标准的实现与所对应的标准描述是否相一致。
根据符合性测试的结果我们可以评价该实现是否符合既定的目标。
若由结果认定目标没有实现，则须对进行标准符合性测试的对象进行修正改进。
标准符合性测试用于测量产品的功能和性能指标与相关国家标准或行业标准所规定的功能和性能指标之间符合程度的测试活动。
它区别于一般的测试，标准符合性测试依据和测试规程一定是国家标准或行业标准，而不是实验室自定义的或其他的有关文件。
经查阅国内外文献发现，目前对于标准符合性测试的研究一般只限于某个领域的符合性研究，没有从整体角度进行研究。
本文通过对比研究，对标准符合性测试的国内外现状进行了数量质量等方面的分析，并针对我国标准符合性测试的标准制定方面工作存在的问题提出了解决对策。
2国内外标准符合性测试发展历程欧洲邮政电信会议1988年发布《CEPT T/N 45-01 E-1988 测试设备可靠性、可维护性和可用规范符合性》是目前可查得的最早提及标准符合性测试的国外机构标准。
认定符合标准
认定符合标准
认定符合标准是指某个产品、服务或行为符合所适用的标准或规定的要求。
在质量管理、认证和合规性方面，认定符合标准是一个重要的概念。
它涉及到确保产品、服务和过程符合规定的要求，从而保证质量、安全和性能。
认定符合标准通常涉及以下几个步骤：
1.确定适用的标准：首先需要明确所适用的标准和规定，这可能涉
及到行业标准、国家法规、国际条约等。
2.制定评估计划：根据适用的标准，制定评估计划，明确评估的范
围、评估的指标和评估的方法。
3.进行评估：根据评估计划，对产品、服务或过程进行评估，收集
数据和证据，以证明其符合标准的要求。
4.记录和报告：记录评估结果和证据，并编写报告，以展示产品、
服务或过程符合标准的要求。
5.审查和改进：定期进行审查，确保持续符合标准，并对不符合标
准的情况进行改进。
要达到认定符合标准的要求，需要建立完善的质量管理体系和流程，并加强培训和意识提升，以确保员工理解和遵守适用的标准和规定。
同时，还需要与供应商、客户等利益相关方进行沟通和协作，以确保整个供应链的符合性。
标准符合性测试的国内外比较及对策分析
国 家 标 准 ＧＢ ／ Ｔ ２ ０ ０ ０ ０ ． １ 《 标 准 化 工 作 指 南 第 １部 分 ： 标 业 标 准 所 规 定 的 功 能 和 性 能 指 标 之 间 符 合 程 度 的 测 试 活
动 。它 区别于一 般 的测试 ， 标 准符 合性 测 试 依据 和 测试 规
而 不是 实 验 室 自定 义 的或 定 的范 围 内 获 得 最 佳 秩 序 ， 经 协 商 一 致 制 定 并 由 公 认 的 机 程 一定是 国家标 准或 行业 标 准 ，
２ 国 内外 标准 符合性 测试 发展 历程
欧洲 邮政 电信会议 １ ９ ８ ８年 发 布《 Ｃ Ｅ Ｐ Ｔ Ｔ／ Ｎ ４ ５ —０ １ Ｅ
一
１ ９ ８ ８测 试 设 备 可 靠 性 、 可维护性 和可用规范 符合性 》 是目
是 否相一致 。根 据符合性 测试 的结果 我们 可 以评 价该 实现 前 可 查 得 的最 早 提 及 标 准 符 合 性 测 试 的 国 外 机 构 标 准 。德
构批准 ， 共 同使用 和重复使 用 的一 种规 范性 文 件” 。而对 于 其 他 的有 关 文 件 。
符 合 性 的定 义 在不 同 的标 准 中表 述有 所 不 同 ， 如在 Ｇ Ｂ ／ Ｔ
经查 阅国 内外 文 献发 现 ， 目前 对 于标 准 符合 性 测试 的
没 有 从 整 体 角 度 １ ７ ６ ９ ４ —１ ９ ９ ９ ￣ 地理 信 息技 术基 本 术 语 》 中符 合性 是指 全 部 研 究 一 般 只 限 于 某 个 领 域 的 符 合 性 研 究 ，
最新-符合性测试在内部审计中的应用 精品
符合性测试在内部审计中的应用一、符合性测试的定义辨析审计中对符合性测试的定义是指为了确定内部控制的设计和执行是否有效而实施的审计程序。
从定义上来看，符合性测试是从设计和执行两个角度对内部控制进行测试和评价，其目的是评价被审计单位内部控制的可依赖性，从而较科学地确定被审计单位的总体风险和各项业务的风险，并根据风险程度合理安排审计资源，把审计风险控制在可接受的范围之内，从而提高审计质量，在此基础上的实质性测试才能做到有的放矢。
第一阶段，调查了解内部控制制度。
记录的方法通常有三种问卷调查表、文字表述和流程图。
第二阶段，进行穿行测试。
以一套样本为准，按业务流程进行梳理，找出风险点并确定关键控制点。
第三阶段，评价内控制度设计的有效性。
将被审计单位现有内控制度与标杆进行比较，从内控设计方面找出被审计单位内部控制的不足及其影响。
评价主要集中在内部控制的健全性、完善性及有效性等方面。
如果审计师认为内部控制不够可靠，则无须识别内控执行情况，直接进入重要实质性测试阶段，而且实测阶段审计范围须全覆盖，抽样数量应定为较高比例；如果审计师认为内部控制可以信赖或部分值得信赖，可进入符合性测试的第四阶段。
第四阶段，对内控制度的执行情况进行检查。
该阶段的检查方法主要是交易测试和机能测试交易测试是指对某一交易事项的整个流程或整个程序所采取的一切控制措施进行审查，其目标在于查明内部控制系统中的信息流向、信息流经的控制环节是否在发挥控制功能，其效能如何。
交易测试着眼点在某一笔交易的完整流程，机能测试则重在某一风险点是否存在隐患。
第五阶段，评价内部控制执行水平。
这一阶段既是对第四阶段检查情况的评价，又是符合性测试承接实质性测试的关键环节，其测试结果让审计师对业务风险点有更深入的了解，直接影响接下来实测的性质、范围和抽样。
如果审计师认为内控执行情况已超出可容忍程度，实测则将提高审计级别、扩大范围和增加样本量；如果审计师认为内控执行情况在可接受范围之内，实测则将有重点地分配资源，在一定的范围内进行有限抽样。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
标准符合性测试来源：中国出入境检疫协会。
网站2005年10月13日1．标准符合性测试概述标准符合性测试的目的是通过测试验证软件产品是否达到了标准中规定的各项指标。
它是对标准实施情况的监督检查手段，对软件产业的发展起着重要的作用。
标准符合性测试的实施主要来源于两个方面：一方面是企业内部在开发软件过程中，自觉地遵守标准化程序，针对产品中与标准相关的各项指标进行测试，以掌握和控制软件产品的标准符合性程度。
对于企业来讲，首先是使管理层和技术层的人员都对标准有足够的认识；其次是要对自己产品领域内的相关标准进行研究和跟踪，并积极参加该类标准的相关工作，这样在采用标准的过程中就会轻车熟路，大量节省成本、降低风险。
另一方面，软件产品设计开发完成后，企业根据需要可以向专门的标准符合性测试机构提出标准符合性测试的申请，由测试机构完成软件产品的标准符合性测试。
同时，国家颁布的某些标准是强制实施的（对应于WTO/TBT中的技术法规），在这些标准适用范围内的产品必须经过专门的标准符合性测试机构测试合格后才能进入市场。
标准符合性测试机构的业务范围主要包括：提供认证计划运作过程中必需的测试结果；通过评价产品为管理机构的工作提供技术基础；通过国家标准和国际标准的符合性测试，参与提高出口商品质量的计划；评价公共管理机构购买的产品；在健康、安全和环境方面控制进口商品；从事与产品和测试方法的国家标准、技术法规制定工作相关的研究与调查任务；针对各个行业进行开发性测试，以确定本地材料的适用性；如果实验室包括校准机构，则该实验室有助于确保工业计量溯源到国家标准或国际标准。
任何一个测试机构要进行软件产品的标准符合性测试工作必须首先具备一定的能力和资质，即正常情况下，进行标准符合性测试的实验室应得到国家实验室认可委员会（CNAL）的认可（可出示国家实验室认可委员会的认可证书），并在其业务范围内包括了特定领域或标准的符合性测试工作。
只有得到国家正式认可的实验室，在出具的测试报告中才可以给出相应的认可标志，其测试结果才能得到国家的承认，并在国际上互认。
测试机构根据自己的业务能力界定业务范围，随着能力的增加随时可以扩展业务范围，扩展后的业务能力同样需要认可机构的认可。
测试机构出具的测试报告必须实事求是、科学公正，企业得到报告后要正当运用，不得对报告断章取义。
测试机构应用的测试方法、测试工具必须是标准中规定的，或行业公认的，或自行设计后经有关专家鉴定合格的。
与软件产品的测试历程相似，标准符合性测试也应从设计阶段就开始着手，首先对设计思想中有关标准采用的问题进行论证评审，然后确定在各个里程碑上应达到的目标，并在各个里程碑上对既定的目标进行考核。
除了测试项来自所采用的标准以外，测试方法的设计、实施与其他软件测试基本相同。
值得一提的是，有的标准会明确给出测试步骤，有的只是给出大体的方法，有的则没有提供测试方面的任何信息。
对于没有测试方面信息的标准，会有这样几种可能：一种是指标无法测试，例如简单易用、美观、友好等类似的规定，这类指标可以作为非测试项考虑。
另一种是指标的测试方法已经很明确，例如要求用户文档中要有产品标识、运行环境的说明等，只须检查一下产品的文档就可以了。
这类指标可以按约定俗成的方法进行测试。
还有一种是可测试但未指定测试方法的。
这类指标的测试要由企业内部的人员自行设计测试方法、测试工具，并负责保证这些测试方法、测试工具的正确性和有效性。
当然，企业可以随时寻求标准解释单位的必要帮助。
通常，测试机构执行标准符合性测试工作的流程如图1-5所示。
图1-5 标准符合性测试工作流程2．标准符合性测试的管理标准符合性测试在管理上有以下特点：(1) 标准符合性测试，一般是由甲方（委托方）委托或指令（例如行政部门）乙方（被委托方）进行，因此在管理上分甲、乙方两条线。
甲方管理的主要着眼点，在于选择可信的、有权威的测试机构（即乙方）。
在乙方工作过程中，甲方的管理工作主要是监督和抽查（乙方允许的话）；在乙方工作完，并经确认后，甲方管理的主要方面是验收乙方的测试结果，并结束甲、乙方的测试合同。
(2) 标准符合性测试的管理，对乙方而言，从与甲方签订合同开始，到结束合同的全过程，都贯穿着管理的一条线。
管理的宗旨是对甲方负责，保证测试结果的正确性。
2.1 签订合同、明确任务甲方委托乙方进行标准符合性测试，在管理上首先要签订合同，明确双方的责任、权力和义务，例如：甲方要求测试的广度、深度；甲方必须提供的技术资料；被测试的软件版本；问题出现时的处理方法和原则；完成时限。
2.2 测试计划、测试实施乙方敢于承担标准符合性测试任务，一定有比较充份的技术储备和现成的测试软件。
虽然如此，对待不同的标准符合性测试合同，仍要在技术上进行周密的研究，根据不同合同的不同要求，制订测试计划，选择适当的测试软件工具集，甚至要设计和生成不同的测试输入数据。
上述各点，都要在严格的管理和控制下，不论是测试环境及软件工具集的配置，还是测试中所涉及的输入/输出信息，都是管理的着力之处。
2.3 资源管理、环境配置标准符合性测试的资源管理，大致可以包括以下内容：(1) 测试负责人员与参加人员的定岗与管理，在组织上落实；(2) 被测软件产品的版本、资料的管理。
特别要说的一点，甲方始终要有责任将自己的产品向乙方的测试人员进行详细说明；(3) 测试环境的配置管理。
标准符合性测试是一项科学而严密的工作，要求测试所得出的结果有代表性、真实性，测试环境必须是规范的、标准的，这一点特别重要。
(4) 测试专用经费管理。
2.4 测试结果，严格评审在测试的全过程中，往往是前一阶段的输出，正是下一阶段的输入。
这个过程，循环往复，直到最终完成任务。
在这个过程中，对重要的阶段性成果及最终成果，都要组织认真的、而不是走过场的评审，从各个角度，把握测试结果的科学性、正确性。
2.5 发现问题，慎重处理在测试中，发现了未预见到问题，首先要分清是标准符合性测试的测试集本身出了问题，还是测试数据出了问题，或者也包括测试环境本身是否是导致错误的根源在内；其次再怀疑被测软件是否出了问题，如果可以确定是后者，才能出具产品的不合格报告。
2.6 给出结果，完成合同标准符合性测试，最后一个管理步骤是形成并签发测试报告，测试报告的结论在一定程度上有法律效力；测试报告的每一句话、每一个数据、每一个结论、都要能经得起考验和推敲。
到此为止，乙方将测试报告通过一定的形式交给甲方。
甲、乙合同到此结束3. 国家软件相关标准随着我国信息产业的发展，国家颁布了众多的有关标准。
原国家质量技术监督局标准化司和全国信息技术标准化技术委员会2000年10月发布的《国家信息化标准体系表》给出了各类标准的明细表，包括了信息化系统在信息采集、处理、存储、传输和使用领域的全部软、硬件标准共计约1600项。
下表中只就较常用的几个标准类别所包括的标准进行了举例，更详细的信息可以咨询全国信息技术标准化技术委员会。
表各类标准举例国家信息化通用标准GB/T 5271.1-1985《数据处理词汇 01部分基本术语》GB/T 5271.2-1988《数据处理词汇 02部分算术和逻辑运算》GB/T 5271.3-1987《数据处理词汇 03部分设备技术》GB/T 13725?-1992《建立术语数据库的一般原则和方法》中文编码字符集标准GB 2312?-1980《信息交换用汉字编码字符集基本集》GB 18030-2000《信息技术信息交换用汉字编码字符集基本集的扩充》GB 13134-1991《信息交换用彝文编码字符集》中文字型标准GB/T 11460-1989《信息处理设备中汉字点阵字模数据的检测方法》GB/T 17961-2000《印刷体汉字识别系统要求与测试方法》GB/T 17698-1999《信息技术通用多八位编码字符集（I区）汉字16点阵字型》软件工程标准GB/T 8566?-1995《信息技术软件生存期过程》GB/T 9386?-1988《计算机软件测试文件编制规范》GB/T 15532-1995《计算机软件单元测试》操作系统标准GB/T 14246.1-1993《信息技术可移植的操作系统接口（POSIX）第1部分：系统应用程序接口（API）（C语言）》GB/T 16681?-1996 《信息技术开放系统中文界面规范》数据库标准GB/T 12991?-1991 《信息处理系统数据库语言 SQL》GB/T 16647?-1996 《信息技术信息资源词典系统（IRDS）框架》GB/T 17533.1-1998《信息技术开放系统互连远程数据库访问第1部分：类属模型、服务与协议》Internet标准GB/T 17973-2000《信息技术系统间远程通信和信息交换在因特网传输控制协议（TCP）之上使用OSI 应用》网络安全标准GB/T 15278-1994《信息处理数据加密物理层可互操作性要求》GB/T 17963-2000《开放系统互连网络层安全协议》GB/T 17965-2000《开放系统互连高层安全模型》识别卡通用标准GB/T 14916-1994《识别卡物理特性》GB/T 17552-1998《识别卡金融交易卡》GB/T 17554-1998《识别卡测试方法》信息安全技术标准GB/T 15843.1-1999《信息技术安全技术实体鉴别第1部分：概述》GB/T 18019-1999 《信息技术包过滤防火墙安全技术要求》GB/T 17859-1999 《计算机信息系统安全保护等级划分准则》EDI通用标准GB/T 14915-1994《电子数据交换术语》GB/T 17549-1998《用于行政、商业和运输业电子数据交换的业务与信息模型花框架》GB/T 17628-1998《信息技术开放式EDI参考模型》测试与评估通用标准GB/T 17544-1998《信息技术软件包质量要求和测试》GB/T 13158-1991《数字交换机的时钟同步设备进入数字网的兼容性测试方法》各类标准中，软件工程标准与中文通用标准（包括中文编码字符集标准和中文字型标准）对软件产品的质量具有最为直接的影响，应该引起软件产品开发企业的高度重视。
在软件工程方面，GB/T 17544-1998《信息技术软件包质量要求和测试》规定了软件包的质量要求和针对这些要求对软件包进行测试的细则，特别是第三方测试；GB/T16260-1995《信息技术软件产品评价质量特性及其使用指南》定义了软件质量的六大特性，并描述了如何使用质量特性来评价软件质量。
在中国市场上行销的软件产品，必须要处理中文信息，而处理中文信息的方式要遵从我国颁布的国家标准。
对应于软件的输入、输出和处理三大部分，中文信息处理标准也分为中文输入法、中文字型和中文编码三大部分。