محمدعلی هادوی - مجتمع دانشگاهی فناوری اطلاعات، ارتباطات و امنیت، دانشگاه صنعتی مالک اشتر، تهران، ایران
سینا بنی طالبی دهکردی - مجتمع دانشگاهی فناوری اطلاعات، ارتباطات و امنیت، دانشگاه صنعتی مالک اشتر، تهران، ایران

شیوه های متعددی برای ارزیابی امنیتی نرم افزار به منظور بررسی سطح مقاومت نرم افزار در برابر حملات ارایه شده است. با توجه به اینکه هر شیوه ی ارزیابی امنیتی اعم از چک لیست های امنیت نرم افزار، استانداردهای ارزیابی و انواع آزمون های نفوذپذیری دارای ویژگی ها و نقاط قوت و ضعف مخصوص به خود می باشند، انتخاب شیوه ی مناسب برای ارزیابی مورد توجه این مقاله بوده است. در این مقاله چارچوبی ارایه شده است که علاوه بر در نظر گرفتن ویژگی های فنی شیوه های ارزیابی، شرایط و نیازمندی های محیطی حاکم بر فرآیند ارزیابی را نیز برای انتخاب روش متناسب با نیازمندی ها در نظر گرفته است. برای این منظور، ابتدا روشها، استانداردها و متدلوژی های موجود جهت ارزیابی امنیتی محصولات نرم افزاری مرور شده است. سپس چارچوبی ارایه شده است که چگونگی انطباق ویژگی های فنی روش های ارزیابی بر نیازمندی های حاکم بر فرایند ارزیابی را به منظور انتخاب شیوه ی مناسب جهت ارزیابی امنیتی نشان می دهد. روش ارایه شده برای دو سناریوی متفاوت اعمال و نتایج آن بررسی شده است.

امنیت نرم افزار، ارزیابی امنیتی، متدلوژی ارزیابی، پارامترهای فنی ارزیابی، نیازمندی های ارزیابی