- 博客(332)
- 收藏
- 关注
RSS订阅原创 软件测试实验室建设所需要采购的设备解读
软件测试实验室建设需要采购两大类设备：环境设施类（机柜、电力保护系统、防静电地板等）和测试设备类（计算机系统、测试工具软件、网络设备等）。CNAS认可准则要求实验室确保测试环境稳定安全，配备防病毒、网络隔离等措施，并定期监控环境条件。测试软件须为正式版本，硬件设备需保证测试数据的准确性。实验室还需配置基础软件和各类专业测试工具，确保检测结果的有效性。
2025-06-12 08:42:34
172
原创 CMA软件检测实验室怎么申请？评审要素盘点
本文我们一起梳理CMA软件检测实验室申请的流程，明确在整个资质申请的过程中，有哪些评审点，需要做好哪些工作。帮助大家对软件检测实验室CMA资质申请工作有一个全面的了解。
2025-06-09 15:30:33
572
原创 软件CNAS认可费用清单
本文梳理了软件检测实验室申请CNAS认可的五大费用构成：1）官方评审费（申请费500元、评审费2400元/人日、年金1000元）；2）实验室环境建设费（包括防尘防静电等特殊装修要求）；3）设备购置费（测试工具软件、硬件设备等）；4）人员资质费（至少5名测试工程师的证书及内审员培训）；5）能力验证费用（约1万元）。文章建议根据预算合理选择设备配置和资质项目，并提供了预算规划建议。
2025-06-04 08:47:48
131
原创 软件测试CNAS实验室认证，资料提交方式变更
为了提高工作效率，增强服务效果，经过充分研讨论证， CNAS秘书处决定调整检测和校准实验室申请及评审资料提交方式。在业务系统已实现结构化功能的基础上，将部分资料提交方式由纸质改为电子版，详见附件1。实验室和评审组提交的电子版材料应做到真实、可追溯，确保提交的电子版材料和纸质版材料具备同样法律效力。上述调整自2025年1月1日起执行。
2025-06-03 09:03:12
224
原创 软件检测CMA实验室认可，授权签字人任职要求，档案中放哪些资料？
授权签字人是经CMA认可可签发带标识报告的技术人员，需具备相应能力与经验。其授权范围依实际技术能力确定，可能不覆盖全部认可项目。CMA评审时重点关注授权文件、职责权限及技术能力等14项考核内容，包括标准理解、设备操作、报告审核等。授权签字人档案需包含教育背景、培训经历、资格确认等6类材料，并持续监控能力维持情况。不同于实验室负责人，授权签字人需通过严格考核才能获得特定领域签字权限。
2025-05-29 08:41:37
424
原创 性能诊断工具AWR配置策略与报告内容解析
Oracle数据库的AWR（自动工作量存储库）是核心性能诊断工具，定期采集数据库性能指标（SQL执行、资源利用等），存储于SYSAUX表空间。可通过dbms_workload_repository包配置快照间隔（默认1小时）、保留周期（默认8天），支持手动创建/删除快照。AWR报告包含等待事件分析（如顺序读/分散读）、TOP SQL排序（按执行时间/CPU消耗等）、段统计等关键诊断数据，通过STATISTICS_LEVEL参数（TYPICAL/BASIC/ALL）控制采集粒度。基线功能可保留特定时段快
2025-05-28 08:48:09
847
原创 CMA/CNAS软件检测实验室人员能力的监督模式解读，人员监督与人员能力监控的区别
本文介绍了CMA/CNAS软件检测实验室人员能力监督与监控的要求和区别。人员能力监督针对新员工和新项目人员，在授权前实施，重点监测技术行为；人员能力监控则针对已授权人员，关注持续能力保持。监督人员需具备相关专业学历或经验。常见监督模式包括口试、笔试、现场见证等11种方式。实验室需根据岗位要求确定人员能力标准，通过培训和监督考核后授权，并持续监控以确保能力稳定性。
2025-05-27 09:19:35
322
原创 CMA软件实验室体系建设中的测试方法部分
在《检验检测机构资质认定评审准则》中，第十二条的第四个小节，是针对CMA软件实验室测试方法相关的要求。（四）检验检测机构能正确使用有效的方法开展检验检测活动。检验检测方法包括标准方法和非标准方法，应当优先使用标准方法。使用标准方法前应当进行验证；使用非标准方法前，应当先对方法进行确认，再验证。针对上述要求，CMA软件实验室可以从以下四个维度去展开理解。
2025-05-23 10:42:54
883
原创 软件测试实验室建设的五个方面｜环境、设备、人员、方法、管理体系
本文详细介绍了CNAS/CMA软件测试实验室建设的五个关键方面：环境和设施、设备资源、人力资源、检测方法和质量管理体系。首先，实验室需配备适宜的环境和设施，确保测试数据的完整性和安全性。其次，必要的设备资源包括测试工具软件和硬件设备，需进行定期核实和检查。第三，人力资源要求测试人员具备相关专业背景和资质，并进行持续培训。第四，检测方法需遵循国家和行业标准。最后，质量管理体系包括质量手册、程序文件、作业指导书和记录文件，确保测试活动的规范性和有效性。通过这些措施，软件测试实验室能够高效、准确地执行测试任务。
2025-05-19 08:42:55
545
原创 CNAS软件测试实验室报告结果应注意的点、需要包含的内容、样例
在CNAS软件测试实验室的质量管理体系中，检测报告的编制和审核是关键环节。根据CL01文件，检测报告必须包含多项关键信息，如标题、实验室名称和地址、客户信息、检测方法、物品描述和状态、检测日期、结果及单位等，以确保报告的完整性和准确性。此外，报告还需包含唯一性标识、报告批准人信息及必要时的免责声明。在实际操作中，常见的问题包括报告内容的不一致、不完整以及修改不规范。为避免这些问题，实验室应严格遵循规定的格式和内容要求，并对报告的所有信息负责，确保检测结果的准确性和适用性。
2025-05-14 13:36:02
214
原创 APP安全测试技术、方法与实践
本文详细探讨了APP安全测试的多个方面，包括安全合规、客户端安全和敏感信息安全。文章首先强调了安全合规的重要性，指出APP在上线前需通过第三方工具进行合规检测，以避免不合规导致的下架风险。接着，文章讨论了客户端安全，涉及代码、路径、文件存储和网络通信的安全问题。此外，敏感信息的安全处理也是测试的重点，包括敏感词过滤、弱口令和明文数据的检查。文章还介绍了APP安全测试的实践方法，如反编译、抓包工具的使用，以及四大组件的安全测试。最后，文章指出了APP安全测试的难点。
2025-05-13 08:53:51
799
原创 cnas软件检测实验室质量管理体系文件思维导图，快速理清全部文件
软件检测实验室在申请CNAS资质时，需建立符合认可文件要求的质量管理体系，包括明确组织架构、人员职责和能力要求，并全面覆盖质量要素。质量管理体系文件分为四个层级：质量手册、程序文件、作业指导书和记录文件。质量手册为纲领性文件，程序文件详细说明质量要素，作业指导书提供具体操作指南，记录文件则包括技术记录和质量记录。这些文件依据CNAS-CL01：2018等标准编写，确保实验室管理体系的有效运行。本文通过逻辑关系图帮助梳理质量管理体系，后续将详细介绍各部分结构及关键点。
2025-05-09 16:35:58
478
原创 CMA软件测试实验室如何理解最新版《检验检测机构资质认定评审准则》
检验检测机构资质认定评审准则》2023版是软件测试实验室CMA认定的最新依据，也是CMA软件测试实验室建立质量管理体系的重要参考标准。本文我们从软件测试实验室的角度，针对第二章评审内容与要求部分一起梳理解读。资质认定技术评审内容包括:对检验检测机构主体、人员、场所环境、设备设施和管理体系等方面是否符合资质认定要求的审查。本条是对资质认定技术评审内容的规定。主要有五大部分：1、软件测试实验室的主体2、技术人员和管理人员3、测试场所4、检验检测设备设施5、质量管理体系。
2025-05-08 17:08:00
873
原创 软件测试CNAS实验室人员能力的监督模式有哪些
实验室人员监督主要是针对在培人员，新进人员、换岗人员等。人员监督强调“新”，初始能力。新员工、新授权之前和新项目运行时，应对人员进行“初始能力”的监督。我们应该还听过一个类似的概念叫做“人员能力监控”，人员能力监控强调“授权在岗”，持续能力。人员独立上岗后，实验室还应选择适当的方式对其工作进行监控，并保留相应记录，以确认其能力能够持续保持。本文我们主要介绍软件测试CNAS实验室人员能力的监督模式。
2025-05-07 17:15:49
264
2
原创 CMA/CNAS软件检测机构设备的期间核查怎么做
在新版准则中，对期间核查的范围扩大了，从过去仅对需要校准的设备扩大到现在所有需要利用期间核查来保持对设备性能信心的设备。期间核查不是校准，校准要做的是通过计量标准量值确定设备示值的操作，解决“准”的问题；而期间核查做的是确定设备是否保持原有状态的操作，解决“稳”的问题。CMA/CNAS软件检测机构设备在大多数情况下仅需要进行期间核查。本文我们一起来梳理CMA/CNAS软件检测机构设备的期间核查怎么做。
2025-05-06 09:05:29
347
原创 CMA软件实验室评审政策解读
CMA软件实验室评审的最新依据是《检验检测机构资质认定评审准则》2023年版，该准则也是建设CMA实验室的重要参考标准。本文我们结合检验检测机构资质认定评审准则条文释义，一起学习建设CMA实验室在不同维度应该满足哪些要求。
2025-04-29 16:00:00
607
原创 软件评测实验室认证，如何创建质量管理体系
软件评测实验室申请CNAS/CMA认证时，需要根据相关认可准则文件的要求，准备能够支撑业务开展的相关资源，搭建科学规范的实验室质量管理体系。试运行并覆盖全部质量要素后，经过评审机构的评审，就可以拥有相关资质了。本文我们主要跟大家分享的是软件评测实验室认证如何创建质量管理体系。
2025-03-11 16:00:00
1141
原创 软件检测实验室如何获得CMA认定｜依据、资源、质量管理体系搭建
3、市场监管局自受理申请之日起，应当在30个工作日内，完成对申请人的技术评审，由于申请人整改或者其它自身原因导致无法在规定时间内完成的情况除外。(二) 检验检测机构应当对检验检测数据、结果的准确性或者有效性有影响的设备(包括用于测量环境条件等辅助测量设备)实施检定、校准或核查保证数据、结果满足计量。(一) 检验检测机构具有符合标准或者技术规范要求的检验检测场所，包括固定的、临时的、可移动的或者多个地点的场所。第十条 检验检测机构应当具有固定的工作场所，工作环境符合检验检测要求。、技术能力应当符合工作需要。
2025-03-10 14:00:00
583
原创 软件CNAS认可费用清单
第四个方面是人员相关的费用，像内审员培训费、软件测试工程师考取证书的费用，根据认可文件要求，软件测试实验室至少需要配备5名软件测试工程师，都需要考取相关的资质证书。第二方面是环境方面的费用，实验室的装修规格没有一致的标准，只要符合官方文件对检测环境的要求即可。最后一个方面是参加能力验证或测量审核的费用，CNAS软件检测实验室申请一次能力验证一般会产生的费用在1万左右，参加测量审核产生的费用会比能力验证稍高一些，所以咱们尽量去选择合适的能力验证去参加，以节省这方面的费用。评审费（分为文件评审费及现场评审费）
2025-03-07 09:38:08
452
原创 GB/T34944-2017 《Java语言源代码漏洞测试规范》标准整体解读
GB/T34944-2017 《Java语言源代码漏洞测试规范》包含源代码漏洞测试的测试目的、测试过程、测试管理、测试工具、测试文档以及测试内容。
2025-03-06 13:45:00
763
原创 人工智能产品与系统领域申请CNAS实验室政策解读
在设施和环境条件方面，对实验室整体的设施和环境条件的控制提出了要求，需要将设施和环境条件的要求形成文件，监测、控制和记录环境条件，并定期评审。在人员方面，主要包含人员能力要求的文件化、人员能力的确认、管理层职责和权限的传达、人员相关的管理程序和记录要求以及人员授权要求。第4条款通用要求，讲的是意识形态方面的要求，主要有两个组成部分，对公正性的要求以及对保密性的要求。最后对于检测结果的报告方面，规定了报告必须要包含的内容、出具结果的要求、简化方式的要求、报告符合性声明、报告意见和解释以及对于报告修改的要求。
2025-03-05 09:19:40
512
原创 点击劫持和DOM代码注入类漏洞攻击方式与防御措施｜软件安全测试技术系列
攻击者使用一个透明的、不可见的iframe，覆盖在一个网页上，然后诱使用户在网页上进行操作，此时用户将在不知情的情况下点击透明的iframe页面。如果程序必须动态地解释代码，您可以通过以下方式将这种攻击获得成功的可能性降到最低：尽可能限制程序中动态执行的代码数量，将代码限制到基本编程语言的程序特定的和上下文特定的子集。的，那么，只有在对主进程具有完全权限的情况下才能执行这些操作。· 如果可能，应根据最小权限原则，隔离出所有动态执行，以使用单独的专用用户帐户，且该帐户只有动态执行使用的特定操作和文件的权限。
2025-03-04 09:07:56
799
原创 大数据测试中，数据仓库表类型有哪些？
没有分区的表，数据全量更新或者增量合并，我们通常理解就是把这些数据放到了一个文件夹里面。这样会有什么好处呢？分区表的好处是可以查询到历史数据的状态以及变化过程，但是可以保存历史数据的状态，一般使用日期或者地区作为分区条件。是一种维护历史状态，以及最新状态数据的一种表，一般只会插入更新有状态变化的数据，保存数据的历史状态，不变更。删除外部表的时候，只会删除元数据，数据本身不删除，外部表可以自己指定路径，跨部门使用比较安全。放在tmp的表，这种表一般是测试或开发临时保存一些数据时用的，一般不需要我们去测试。
2025-03-03 10:35:27
284
原创 性能测试测试策略制定｜知名软件测评机构经验分享
事务（Transaction）是这样一个点，为了衡量某个action的性能，需要在action的开始和结束位置插入这样一个范围，这就定义了一个transaction。LoadRunner 运行到该事务的开始点时，LoadRunner 就会开始计时，直到运行到该事务的结束点，计时结束。这个事务的运行时间在结果中会有反映。在录制脚本的过程中，需要将关注的每个业务逻辑单位标记为事务并进行命名，这样可以在统计结果得到更多的分析数据并可以直接统计各个功能点对整体性能的影响。
2025-02-28 09:34:07
1200
原创 ISO/IEC 42001 人工智能管理标准解读
（1）确定组织在人工智能领域的角色定位在建立人工智能管理体系时，组织首先应就自身在人工智能系统领域的角色进行定位，建立和实施人工智能管理体系的内容。下图诠释了人工智能系统各相关方角色，供组织在确定自身角色定位时参考。（2）理解组织面临的内外部问题确定角色定位后，组织应进一步分析在人工智能管理领域所面临的内外部问题，从而为建立人工智能管理体系提供必要的输入。（3）理解组织利益相关方需求与期望组织应识别与人工智能管理的利益相关方，理解各相关方针对人工智能系统的管理需求与期望。
2025-02-27 13:30:00
817
原创 全面介绍人工智能产品与系统领域实验室CNAS资质申请
随着计算机硬件性能提升、大数据爆发增长以及机器学习尤其是深度学习技术突破，人工智能技术再次迎来复兴与繁荣。人工智能系统在医疗、交通、金融、教育、工业等领域的应用越来越广泛和深入。人工智能系统的普遍应用在业务创新、用户体验和效率提升方面取得了有目共睹的成果，与此同时也带来了许多潜在风险。
2025-02-26 09:59:26
590
原创 CNAS软件实验室评审需要准备哪些材料？（最全清单）
软件检测实验室申请CNAS资质首先需要根据认可准则的要求，配备相应的实验室环境、人员、设备，建立软件检测实验室质量管理体系和技术体系，试运行并全面覆盖相关质量要素。本文我们一起来梳理在CNAS软件实验室评审过程中需要提前准备的材料，快速掌握CNAS软件实验室评审需要覆盖的质量要素。1、营业执照2、外部组织关系图3、内部组织结构图4、公正性声明或服务承诺5、防止利益冲突的措施和承诺6、保密承诺和措施。
2025-02-25 16:00:00
991
原创 GB 44497-2024《智能网联汽车 自动驾驶数据记录系统》标准解读
GB 44497-2024《智能网联汽车 自动驾驶数据记录系统》针对智能网联汽车的自动驾驶数据记录系统进行了全面规范。标准要求我们记录车辆在自动驾驶模式下的所有关键操作数据，如：1. 车辆状态数据，如速度、加速度、转向角度、制动状态等；2. 环境感知数据，如周围物体的位置、速度、类型等；3. 驾驶决策数据，如路径规划、避障决策、紧急制动指令等；4. 系统状态数据，如软件版本、硬件状态、系统警告信息等。在数据存储方面，标准强调了数据的安全性和可靠性。
2025-02-25 09:12:38
1334
原创 GB 44495-2024《汽车整车信息安全技术要求》标准解读｜内容架构、测试内容、应对措施
并对汽车信息安全管理体系的内容做了进一步明确：建立内部管理信息安全的流程，识别、评估、分类、处置车辆信息安全风险，建立车辆信息安全测试流程，监测、响应和上报告网络攻击，管理企业与供应商、服务提供商之间信息安全依赖关系，这与UNECE R155基本一致。在车辆外部连接安全要求、通信安全要求、软件升级安全要求和数据代码安全要求方面，UNECE R155中有列出70个威胁清单，GB 44495-2024《汽车整车信息安全技术要求》则是分别阐述了四大方面威胁的38项安全要求。
2025-02-24 16:00:00
1252
原创 GB 44496-2024《汽车软件升级通用技术要求》标准解读｜标准结构、测试方法、测试内容
2024年08月23日，我国工业和信息化部发布了GB 44496-2024《汽车软件升级通用技术要求》，该标准将于2026年01月01日起实施。该标准是一项强制性国家标准，适用于M类、N类和O类汽车。自该项标准实施之日起，所有需要申请道路机动车辆产品准入的车企，必须满足该项标准要求。对于该公告实施之前的车辆，给予两年的缓冲整改期，以便车企对车辆进行升级改造，确保符合该项标准要求。自2028年01月01日起，所有在售车辆均需强制性符合该项标准要求。
2025-02-24 09:08:45
1618
原创 标准解读｜汽车信息安全领域发布三项强制性国家标准，汽车测评领域新变革
为满足我国智能网联汽车行业管理需求、产业发展和技术进步需要，自2019年起我国陆续启动智能网联汽车领域相关强制性国家标准制定工作。8月23日，三项强制性国家标准以及一项推荐性国家标准正式出台。这几部标准从起草到意见征求阶段就备受关注，对整个智能网联汽车领域信息安全测评起着至关重要的作用。本文针对这四部标准的内容进行全面的介绍。
2025-02-21 16:00:00
1340
原创 NIST SP 800-193中固件安全测试指导意见
NIST SP 800-193是由美国国家标准技术研究所(NIST)发布的一份关于平台固件弹性的指南，这份指南针对平台固件和数据面对潜在破坏性攻击时的弹性提供了技术指导和建议，建议通过保护（Protection）、检测（Detection）和恢复（Recovery），以确保平台固件的完整性，从攻击中快速且安全地恢复。保护机制确保固件代码和关键数据保持完整，并受到未授权更改的保护；检测机制用于发现固件代码和关键数据何时被破坏；
2025-02-21 09:22:28
919
原创 客户端DOM开放重定向（Client_DOM_Code_Injection）漏洞解析
应用程序将用户的浏览器重定向到用户请求中提供的 URL，而不会警告用户他们被重定向到网站外。本系列文章分享JavaScript语言常见的安全漏洞，漏洞的原理，可能导致的安全问题，以及如何防御与避免。那些通过请求（如查询字符串和表单数据）指定重定向URL的Web程序可能会被篡改，而把用户重定向到外部的恶意URL。o 对于应用程序站点内的 URL，先对用户提供的参数进行过滤和编码，然后通过在其前面添加应用程序站点域前缀将其用作相对 URL。而要在服务器侧创建从用户提供的参数值到合法 URL 的映射。
2025-02-20 16:00:00
405
原创 《商用密码应用安全性评估测评实施指引》发布，重点内容解读
商用密码应用安全性评估测评实施指引》由中国密码学会密评联委会提出并归口，为商用密码应用安全性评估的测评实施工作提供指导。该文件主要依据相关标准，结合密码应用技术和管理测评指标，重点给出测评对象确定、测评方式推荐、测评实施操作说明、取证结果说明等内容，旨在解决测评实施过程的规范性以及取证结果的准确性和完备性问题。
2025-02-20 09:21:38
1430
原创 《GB∕T 43206-2023 信息安全技术 信息系统密码应用测评要求》介绍，4月1日起正式施行
因此，密评服务的客户群体包括但不限于关键信息基础设施运营者（如电信、能源、交通、金融等领域核心系统）、大型企业与机构（如银行、互联网公司、医疗保健机构等）、政府机关与公共部门（各级政府、事业单位及其处理政务数据、公民信息、公共服务数据的系统）、第三方服务提供商（云计算、大数据平台等）、中小型企业（处理敏感信息或依赖信息系统的核心业务）、特定行业与领域（如国防、电力、电商、在线支付等）。《密码法》明确规定，未按照要求开展商用密码应用安全性评估的，由密码管理部门责令改正，给予警告。
2025-02-19 16:00:00
261
原创 CNAS-CL01-G001文件新版发布，变化解读，软件实验室需要做好哪些应对？
针对该文件的换版发布，不论是已经获取CNAS认可的软件测试实验室，还是正在准备申请软件实验室认可的实验室，都应该做好以下工作：首先应该从官网“认可规范”栏目中的“实验室认可——认可准则——认可应用准则”中查找并下载最新文件，做好相应的文件控制管理工作。根据文件变动内容修订相应的内部文件。最后还应组织宣贯培训，识别新旧文件差异，做好内部应对工作计划。CNAS-CL01-G001:2024检测和校准实验室能力认可准则的应用要求是一份强制执行的准则文件，软件实验室认可过程中，一定会用到该文件。
2025-02-19 09:10:32
756
原创 国家认监委最新通知，RB/T214-2017系列文件正式退出历史舞台
昨日，国家认监委发布了关于废止国认实〔2018〕28号文件的通知，为贯彻落实《检验检测机构资质认定管理办法》（2021年4月2日根据国家市场监督管理总局令第38号修改）、《检验检测机构资质认定评审准则》（市场监管总局公告2023年第21号）及《检验检测机构资质认定评审人员管理办法（试行）》，根据有关工作要求，现决定废止《国家认监委关于检验检测机构资质认定工作采用相关认证认可行业标准的通知》（国认实〔2018〕28号）。1.检验检测机构资质认定能力评价 检验检测机构通用要求（RB/T 214-2017）
2025-02-18 16:00:00
742
原创 软件测试CMA认证实验室质量管理体系文件大全
软件测试实验室申请软件测试CMA认可前，需要根据《检验检测机构资质认定评审准则》等认可文件，建立实验室质量管理体系，并落地相关文件。管理体系文件需要将认可文件的相关要求转化为适用于本实验室的规定，具有可操作性，各层次文件之间要求一致。软件测试CMA质量管理体系文件，按照金字塔结构可以分为质量手册、程序文件、作业指导书和记录文件四个层级。每个层级之间需要注意逻辑的一贯性，逻辑关系要清晰，还要满足认可准则和/或资质认定条款的所有要求。
2025-02-18 09:32:59
954
原创 跨站点请求伪造（CSRF）类漏洞攻击方式与防御措施｜软件安全测试技术系列
跨站点请求伪造，指利用用户身份操作用户账户的一种攻击方式，即攻击者诱使用户访问一个页面，就以该用户身份在第三方有害站点中执行了一次操作，泄露了用户的身份信息，接着攻击者就可以使用这个伪造的，但真实存在的身份信息，到某网站冒充用户执行恶意操作。* Referer首部包含了当前请求页面的来源页面的地址，一般情况下Referer的来源页就是发起请求的那个页面，如果是在iframe中发起的请求，那么对应的页面URL就是iframe的src。那么整个自动提交表单的过程，对于用户来说就是不可见的。，本地Cookie。
2025-02-17 16:00:00
542
原创 软件安全测试技术系列｜跨站脚本攻击（Cross Sites Script）类漏洞攻击方式与防御措施
本系列文章分享JavaScript语言常见的安全漏洞，漏洞的原理，可能导致的安全问题，以及如何防御与避免。本文分享的是跨站脚本攻击（Cross Sites Script）。
2025-02-17 09:15:47
947
空空如也
空空如也
TA创建的收藏夹 TA关注的收藏夹
TA关注的人