P06 检验、试验与放行

责任部门：品质部、检验室、实验室

过程流程

来料检验；过程检验；试验；最终检验；放行；不合格输出控制

审核要点

检验、试验与放行策划
是否根据产品和服务特点确定必要的检验、试验和确认活动。
是否明确检验、试验的项目、方法、要求及判定准则。
是否明确检验、试验及放行的责任人员。
是否确定检验、试验所需的设备、软件、环境及其他资源。
是否根据产品、项目和服务风险确定适宜的检验、试验方式。
对网络安全服务、软件开发、系统集成等项目，是否明确相应的验证、测试和确认要求。
是否明确什么情况下可以放行、交付或上线。
是否明确什么情况下不得放行。
项目要求发生变化时，是否及时调整检验、试验及放行安排。
来料、外部提供产品的检验
外购设备、软件及其他产品到货后是否按照规定进行验收。
是否核对产品型号、数量、规格及技术要求。
对网络设备、安全设备、服务器等重要设备，是否进行必要的功能或配置检查。
第三方软件、授权许可等是否进行必要确认。
发现外部提供产品不符合要求时，是否采取适当处理措施。
验收结果是否形成记录并能够追溯。
项目实施过程中的检验和测试
这是IT、网络安全、系统集成企业非常重要的一块。
项目实施过程中是否设置必要的检查、测试和确认环节。
系统安装、配置完成后是否进行功能测试。
系统集成后是否进行联调测试。
软件开发完成后是否进行测试。
网络设备、安全设备配置完成后是否进行验证。
安全服务实施后是否对结果进行确认。
测试是否依据明确的要求或判定准则实施。
测试结果是否形成记录。
测试发现问题后是否进行处理和重新验证。
系统集成项目检验
是否对硬件安装情况进行检查。
是否确认软件安装及配置情况。
是否确认各系统之间的接口连接。
是否进行系统联调。
是否验证数据传输是否正常。
是否验证系统功能是否满足项目要求。
是否验证系统运行稳定性。
是否对安全配置进行必要检查。
是否形成测试、调试及验收记录。
系统集成完成后是否由适当人员确认结果。
例如：
防火墙、堡垒机、日志分析系统等设备安装完成后，是否进行了配置检查、连通性测试、功能验证及系统联调？
这类问题比问“你们系统集成怎么做”有效得多。
软件开发、配置及上线前测试
软件是否经过测试后才能进入正式运行环境。
是否区分开发、测试和生产环境。
程序源代码修改后是否进行必要测试。
软件版本是否能够识别。
配置文件修改后是否进行验证。
测试是否覆盖主要功能。
测试中发现的问题是否得到处理。
问题处理后是否重新测试。
是否保留测试记录。
上线是否经过授权。
网络安全服务结果确认
对于漏洞扫描、渗透测试、等级保护、安全巡检等项目：
是否对服务实施结果进行检查。
漏洞扫描结果是否经过分析和确认。
渗透测试结果是否经过审核。
安全巡检结果是否经过复核。
基线检查结果是否经过确认。
应急演练结果是否进行评价。
安全培训是否确认实施效果。
服务报告是否经过内部审核。
交付给客户的报告是否经过必要的技术复核。
检验、试验设备及工具
检验和测试使用的设备是否适宜。
测试工具、软件工具是否处于适用状态。
测试设备需要校准或验证时，是否按照要求实施。
网络安全测试工具是否使用正确版本。
测试工具的授权是否有效。
自动化测试软件的结果是否可靠。
发现测试设备或工具异常时，是否评价已经产生的测试结果。
信息安全方面
测试过程中使用的客户数据是否受到保护。
测试环境是否避免不必要使用客户真实数据。
测试数据是否采取适当脱敏措施。
测试报告、截图、日志及测试结果是否受到控制。
测试账号是否按照授权使用。
测试完成后临时账号是否及时关闭。
测试过程中产生的漏洞信息、密码、系统配置等敏感信息是否得到保护。
测试资料传递是否采取适当的信息安全措施。
测试结果是否避免通过非必要的信息通信平台传播。
放行和交付
产品或服务是否在完成规定的检验、试验后放行。
是否满足规定要求后才能交付客户。
是否明确放行人员。
放行是否有授权。
是否保留放行依据。
项目验收前是否完成必要的测试。
测试不合格时是否禁止直接交付。
客户特殊要求是否已经确认。
软件正式上线是否经过必要确认。
系统集成项目是否在测试和验收完成后交付。
不符合检验结果的处理
检验或测试发现不符合时是否进行标识。
是否防止不符合产品或服务被误交付。
是否进行返工、修改、重新测试或其他处理。
处理后是否重新验证。
客户已经接收后发现问题时，是否采取相应措施。
是否保留相关处理和重新验证记录。

审核记录示例

现场抽查近期完成的项目，查看项目实施方案、测试记录及验收资料。组织能够根据项目特点安排相应的检查、测试及确认活动，对项目实施结果进行验证，测试完成后由相关人员对结果进行确认，并根据确认结果实施项目交付。
现场抽查某系统集成项目，查看设备安装、软件配置及系统联调资料。组织能够按照项目技术方案对相关设备及软件进行配置，并对系统连接、功能及运行情况进行测试，测试结果形成相应记录，未发现未经必要测试即直接交付的情况。
现场抽查软件开发项目，查看软件测试及上线资料。组织能够在软件正式上线前实施功能测试，对测试过程中发现的问题进行修改并重新验证，相关测试结果能够追溯到相应软件版本，测试通过后按照规定实施上线。
现场抽查网络安全服务项目，查看漏洞扫描、安全巡检及基线检查等服务记录。组织能够按照项目要求实施相关安全检查，并对扫描、检查结果进行分析和确认，形成相应服务报告，相关报告经内部人员审核后提交客户。
现场查看项目测试过程中使用的数据及测试资料，涉及客户系统配置、账号及测试结果等信息能够按照项目要求进行管理。测试过程中能够根据实际情况控制客户敏感信息，涉及必要的信息传递时能够采取脱敏等措施，未发现无关人员随意获取测试资料的情况。
现场查看项目放行及验收资料，组织能够根据项目要求确认测试、验证及客户验收结果，项目在完成规定的测试和确认后实施交付。相关验收记录能够识别项目名称、实施内容及验收结果，能够对项目交付过程进行追溯。
现场抽查测试过程中发现的问题，组织能够对测试发现的问题进行记录、分析和处理，问题处理完成后实施必要的重新测试或验证，并根据验证结果确认项目是否达到交付要求。
现场了解系统上线过程，组织能够在上线前对系统功能、配置及相关运行条件进行确认，对重要变更实施必要的测试和验证。上线活动由相关人员按照规定进行确认，能够避免未经确认的系统直接投入正式运行。
现场查看检验、试验所使用的设备及软件工具，相关设备和工具能够满足项目测试要求，需要进行校准或验证的设备能够按照规定进行管理，测试工具的使用状态基本正常，未发现明显影响测试结果有效性的情况。
现场抽查项目交付资料，组织能够根据客户要求确认项目实施结果，测试报告、验收资料及最终交付文件基本保持一致。对于测试过程中发现的问题，能够在完成处理和验证后再进行最终交付。

高频问题

有测试，但是没有明确判定准则。
有测试报告，但是不知道谁批准放行。
项目已经上线，但测试记录不完整。
系统集成完成后没有完整的联调记录。
软件开发完成后直接上线，没有充分测试。
测试发现问题，但没有重新验证。
测试结果与实际运行版本不一致。
报告交付前没有技术复核。
安全服务报告直接由实施人员提交客户。
第三方设备到货后只清点数量，没有技术验收。
测试工具版本与项目要求不一致。
测试数据直接使用客户真实敏感数据。
测试过程中产生的漏洞、密码、配置等信息管理不当。
测试账号使用结束后没有关闭。
放行主要依靠项目负责人个人经验。
没有明确“什么情况下可以交付”。
不合格结果没有阻止交付。
项目已经交付后才补测试记录。
验收记录与实际项目实施情况不一致。