נוהל: בדיקות קבלה A14.2.9

מטרה

מטרת הנוהל היא להבטיח כי מערכות מידע חדשות, שדרוגים, וגרסאות חדשות, עומדות בדרישות הארגון, כולל דרישות אבטחת המידע, לפני שהן מועברות לשימוש מבצעי.

תחום יישום

הנוהל חל על כל מערכות המידע החדשות, השדרוגים, והגרסאות החדשות של הארגון, לרבות מערכות תוכנה, מערכות חומרה, וכו'.

הגדרות

• בדיקות קבלה: תהליך של בדיקה של מערכות מידע חדשות, שדרוגים, וגרסאות חדשות, על מנת להבטיח כי הן עומדות בדרישות הארגון ובסטנדרטים של אבטחת מידע.
• דרישות מערכת: דרישות ספציפיות של הארגון עבור מערכת מידע מסוימת, הכוללות דרישות תפקודיות, ביצועים, ואבטחת מידע.
• דוח בדיקות קבלה: מסמך המפרט את תוצאות בדיקות הקבלה של מערכת מידע מסוימת, הכולל המלצות לשחרור המערכת לשימוש מבצעי או להמשך עבודה לתיקון בעיות שנמצאו.

אחריות

הנהלה:

• אחראית על קביעת מדיניות בדיקות קבלה.
• אחראית על אספקת המשאבים הדרושים ליישום מדיניות זו, כולל זמן צוות, כלים, ותשתיות לביצוע הבדיקות.
• אחראית על מעקב אחר ביצוע מדיניות זו, תוך סקירת דוחות הבדיקות ומתן החלטות על שחרור או עיכוב גרסאות.

ממונה אבטחת מידע:

• אחראי על יישום מדיניות בדיקות קבלה, כולל פיקוח על התאמה לדרישות אבטחת מידע.
• אחראי על ניהול תהליך יישום מדיניות זו, כולל תיאום הבדיקות עם מחלקות פיתוח, תשתיות ואבטחה.

מנהלי מערכות:

• אחראים על יישום מדיניות בדיקות קבלה בכל פרויקטי הפיתוח.
• אחראים על ביצוע בדיקות הקבלה, תיעוד התוצאות, ויצירת דוחות בדיקות קבלה מקיפים.

תהליך

1. קביעת מדיניות בדיקות קבלה

הנהלת הארגון תקבע מדיניות בדיקות קבלה, אשר תכלול את הנושאים הבאים:

• מטרות מדיניות בדיקות קבלה: להבטיח כי כל מערכת מידע חדשה או משודרגת תעמוד בדרישות הארגון ותהיה בטוחה לשימוש מבצעי.
• תחום יישום מדיניות בדיקות קבלה: הגדרת סוגי המערכות, השדרוגים והגרסאות החדשות שעליהם תחול המדיניות.
• דרישות בדיקות קבלה: קריטריונים לבדיקה, כגון התאמה לדרישות, עמידה בתקני אבטחת מידע, ביצועים תחת עומס ועוד.

2. אימוץ מדיניות בדיקות קבלה

מנהלי מערכות יאמצו את מדיניות בדיקות קבלה, על ידי:

• פיתוח נהלים מפורטים: יצירת תהליכי עבודה לביצוע בדיקות קבלה, כולל חלוקת תפקידים, כלים ושיטות לבדיקה.
• עדכון מסמכים קיימים: התאמת מסמכים ונוהלים קיימים למדיניות החדשה.

3. יישום מדיניות בדיקות קבלה

מנהלי מערכות יפעלו ליישום מדיניות בדיקות קבלה, על ידי:

• הדרכת עובדים: הדרכת צוותי הפיתוח, הבדיקות והאבטחה לגבי המדיניות והנהלים החדשים.
• ביצוע בדיקות קבלה: בדיקת המערכות בפועל בהתאם לתקנים ולדרישות שנקבעו, כולל בדיקות אבטחה, בדיקות תפקודיות ובדיקות ביצועים.
• תיעוד וכתיבת דוח: יצירת דוח בדיקות קבלה שמסכם את ממצאי הבדיקות ומפרט המלצות להמשך.

4. מעקב אחר יישום מדיניות בדיקות קבלה

הנהלת הארגון תעקוב אחר יישום מדיניות בדיקות קבלה, על מנת לוודא שהיא מיושמת כראוי:

• ביצוע ביקורות תקופתיות: סקירת ממצאי הבדיקות ובחינת תאימות המערכות לדרישות.
• אישור לשחרור מערכות: קבלת החלטות מבוססות על ממצאי הבדיקות לגבי שחרור לשימוש מבצעי או המשך עבודה לתיקון בעיות.