Тестовые Доказательства и Документация Соответствия: Построение Готовых к Аудиту QA-Систем

## Контрольный Список Тестовых Доказательств SOX

### Тестирование Контроля Доступа
- [ ] Тестовый случай: Предотвращение несанкционированного доступа
- [ ] Тестовые данные: Матрица ролей и разрешений пользователей
- [ ] Ожидаемый результат: Доступ запрещен для неавторизованных пользователей
- [ ] Фактический результат: Скриншот отказа в доступе
- [ ] Тестировщик: John Smith (Независимый QA)
- [ ] Дата: 2025-10-08
- [ ] Рецензент: Jane Doe (Руководитель QA)
- [ ] Утверждение: Подпись офицера по соответствию

### Верификация Аудиторского Следа
- [ ] Тестовый случай: Все финансовые транзакции зарегистрированы
- [ ] Тестовые данные: Образцы транзакций (обезличенные)
- [ ] Ожидаемый результат: Полный аудиторский след с временными метками
- [ ] Фактический результат: Результаты запроса к базе данных
- [ ] Доказательства: audit_trail_verification.pdf

test_case_id: HIPAA-ENC-001
requirement_id: SEC-002
regulation: HIPAA Security Rule § 164.312(a)(2)(iv)
title: Шифрование PHI в Покое

preconditions:
  - Тестовая база данных содержит образец PHI (синтетические данные)
  - Ключи шифрования правильно настроены
  - Журналирование доступа к базе данных включено

test_steps:
  - step: 1
    action: Прямой доступ к базе данных (в обход приложения)
    expected: Поля PHI зашифрованы в базе данных
    evidence_type: Скриншот базы данных

  - step: 2
    action: Получить запись пациента через приложение
    expected: PHI отображается в открытом тексте (расшифрован)
    evidence_type: Скриншот приложения

  - step: 3
    action: Проверить журналы шифрования базы данных
    expected: Нет незашифрованных PHI в журналах
    evidence_type: Выдержка из файла журнала

test_data:
  patient_id: TEST-12345
  phi_fields: [ssn, diagnosis, medications]

evidence_files:
  - encrypted_database_view.png
  - application_display.png
  - encryption_logs_20251008.txt

pass_criteria:
  - Все поля PHI зашифрованы с помощью AES-256
  - Расшифровка только через аутентифицированный доступ к приложению
  - Нет PHI, видимого в системных журналах

tester: Sarah Johnson, CISA
test_date: 2025-10-08
reviewer: Michael Chen, CISSP
approval_date: 2025-10-09

## Протокол Валидации Системы

**Система:** Система Управления Лабораторной Информацией (LIMS)
**Тип Валидации:** IQ/OQ/PQ (Квалификация Установки/Эксплуатационная/Производительности)
**Регулирование:** 21 CFR Часть 11

### Квалификация Установки (IQ)
| Компонент | Ожидаемая Версия | Фактическая Версия | Статус | Доказательства |
|-----------|------------------|-------------------|--------|----------------|
| Сервер Приложений | v3.2.1 | v3.2.1 | ✓ Пройдено | IQ-001.pdf |
| База Данных | PostgreSQL 14 | PostgreSQL 14 | ✓ Пройдено | IQ-002.pdf |
| Система Резервного Копирования | Настроена | Проверена | ✓ Пройдено | IQ-003.pdf |

### Эксплуатационная Квалификация (OQ)
- Тестовый Случай OQ-001: Уникальность электронной подписи
- Тестовый Случай OQ-002: Неизменность аудиторского следа
- Тестовый Случай OQ-003: Контроли доступа к системе
- Тестовый Случай OQ-004: Резервное копирование и восстановление данных

### Квалификация Производительности (PQ)
- PQ-001: Система работает при нормальной нагрузке
- PQ-002: Целостность данных при одновременных операциях
- PQ-003: Точные вычисления для результатов тестов

Requirement ID,Requirement Description,Regulation,Design Spec,Test Case IDs,Test Status,Defects,Risk Level
REQ-001,"Аутентификация пользователя с MFA",HIPAA §164.312(a)(2)(i),DS-AUTH-01,"TC-001,TC-002,TC-003",Пройдено,Нет,Высокий
REQ-002,"Таймаут сессии после 15 мин бездействия",SOX IT Controls,DS-SESS-01,"TC-004,TC-005",Пройдено,Нет,Средний
REQ-003,"Журналирование всех обращений к PHI",HIPAA §164.312(b),DS-AUDIT-01,"TC-006,TC-007,TC-008",Провалено,DEF-045,Критический
REQ-004,"Шифрование данных в покое",ISO 27001 A.10.1.1,DS-ENC-01,"TC-009,TC-010",Пройдено,Нет,Высокий
REQ-005,"Контроль доступа на основе ролей",GDPR Art 32,DS-RBAC-01,"TC-011,TC-012,TC-013",В Процессе,Нет,Высокий

// Тестовый Случай Xray со Ссылками на Требования
{
  "key": "TEST-123",
  "summary": "Проверить шифрование полей конфиденциальных данных",
  "requirementKeys": ["REQ-004", "REQ-008"],
  "regulatoryReferences": [
    "HIPAA Security Rule § 164.312(a)(2)(iv)",
    "ISO 27001 Control A.10.1.1"
  ],
  "testType": "Manual",
  "steps": [...],
  "evidenceRequired": true
}

## Соглашение о Наименовании Скриншотов
Формат: [TestCaseID]_[Step]_[Result]_[Timestamp].png

Примеры:
- TC-001_Step3_Pass_20251008_143052.png
- TC-045_Step7_Fail_20251008_150321.png

## Требуемые Элементы в Скриншотах:
✓ Видимая временная метка или дата
✓ Идентификация пользователя (авторизованный пользователь)
✓ Ссылка на ID тестового случая
✓ Четкое отображение ожидаемого vs фактического результата
✓ Нет PHI или PII (использовать только тестовые данные)

## Рекомендации по Записи Экрана:
- Максимальная продолжительность: 5 минут на тестовый случай
- Разрешение: 1920x1080 минимум
- Формат: MP4 (кодек H.264)
- Аудио комментарии: Опционально, но рекомендуется
- Включить ID тестового случая в название видео

import os
from datetime import datetime
from selenium import webdriver
from selenium.webdriver.common.by import By

class ComplianceTestRecorder:
    def __init__(self, test_case_id, evidence_dir="./evidence"):
        self.test_case_id = test_case_id
        self.evidence_dir = evidence_dir
        self.driver = webdriver.Chrome()
        self.step_counter = 0

        # Создать директорию доказательств
        os.makedirs(f"{evidence_dir}/{test_case_id}", exist_ok=True)

    def capture_evidence(self, step_description, result="PASS"):
        """Захватить скриншот с метаданными"""
        self.step_counter += 1
        timestamp = datetime.now().strftime("%Y%m%d_%H%M%S")
        filename = f"{self.test_case_id}_Step{self.step_counter}_{result}_{timestamp}.png"
        filepath = f"{self.evidence_dir}/{self.test_case_id}/{filename}"

        # Захватить скриншот
        self.driver.save_screenshot(filepath)

        # Записать метаданные
        metadata = {
            "test_case": self.test_case_id,
            "step": self.step_counter,
            "description": step_description,
            "result": result,
            "timestamp": timestamp,
            "screenshot": filename,
            "url": self.driver.current_url,
            "browser": "Chrome",
            "tester": os.getenv("TESTER_NAME", "Автоматизированный")
        }

        # Добавить в журнал доказательств
        with open(f"{self.evidence_dir}/{self.test_case_id}/evidence_log.json", "a") as f:
            import json
            f.write(json.dumps(metadata) + "\n")

        return filepath

    def test_login_with_mfa(self):
        """Пример: Тест входа, совместимый с HIPAA, с доказательствами"""
        self.driver.get("https://app.example.com/login")

        # Шаг 1: Ввести учетные данные
        self.driver.find_element(By.ID, "username").send_keys("test_user")
        self.driver.find_element(By.ID, "password").send_keys("SecureP@ss123")
        self.capture_evidence("Учетные данные введены", "PASS")

        # Шаг 2: Отправить форму входа
        self.driver.find_element(By.ID, "login-button").click()
        self.capture_evidence("Вход отправлен", "PASS")

        # Шаг 3: Проверить, что появляется запрос MFA
        mfa_prompt = self.driver.find_element(By.ID, "mfa-verification")
        assert mfa_prompt.is_displayed()
        self.capture_evidence("Запрос MFA отображен", "PASS")

        # Шаг 4: Ввести код MFA
        self.driver.find_element(By.ID, "mfa-code").send_keys("123456")
        self.capture_evidence("Код MFA введен", "PASS")

import hashlib
import json
from datetime import datetime, timedelta

class ComplianceArchive:
    def __init__(self, storage_backend):
        self.storage = storage_backend

    def archive_test_evidence(self, test_case_id, evidence_files,
                              retention_years=7, regulation="SOX"):
        """Архивировать тестовые доказательства с метаданными и проверкой целостности"""

        # Рассчитать срок истечения хранения
        retention_date = datetime.now() + timedelta(days=365 * retention_years)

        # Генерировать манифест
        manifest = {
            "archive_id": f"ARC-{test_case_id}-{datetime.now().strftime('%Y%m%d')}",
            "test_case_id": test_case_id,
            "archived_date": datetime.now().isoformat(),
            "retention_until": retention_date.isoformat(),
            "regulation": regulation,
            "files": []
        }

        # Обработать каждый файл доказательств
        for filepath in evidence_files:
            with open(filepath, 'rb') as f:
                file_content = f.read()
                file_hash = hashlib.sha256(file_content).hexdigest()

            file_metadata = {
                "filename": os.path.basename(filepath),
                "size_bytes": len(file_content),
                "sha256": file_hash,
                "archived_at": datetime.now().isoformat()
            }
            manifest["files"].append(file_metadata)

            # Загрузить в архивное хранилище (S3, Azure Blob и т.д.)
            archive_path = f"{regulation}/{test_case_id}/{os.path.basename(filepath)}"
            self.storage.upload(filepath, archive_path, metadata={
                "retention_until": retention_date.isoformat(),
                "regulation": regulation,
                "sha256": file_hash
            })

        # Сохранить манифест
        manifest_path = f"{regulation}/{test_case_id}/manifest.json"
        self.storage.upload_text(json.dumps(manifest, indent=2), manifest_path)

        return manifest

    def verify_integrity(self, archive_id):
        """Проверить, что архивированные доказательства не были подделаны"""
        # Реализация для периодических проверок целостности
        pass