Цели 20-го процесса ГОСТ Р 56939-2024:
Организация приемки ПО с целью недопущения недостатков кода ПО перед его предоставлением пользователям.
Вместо "Петя, собери и выложи релиз" требуется разработать регламент приёмки ПО перед выкладыванием новых версий дистрибутива. При этом анализируются список ещё не устранённых ошибок, которые могут повлиять на качество релиза и его безопасность. Оценивается, можно ли выпустить релиз.
В любом большом проекте всегда существует множество задач в багтрекере на тему доработок и ещё неисправленных ошибок/недочётов. Не будет момента, когда перед очередным релизом все они будут исправлены. Поэтому речь идёт не о том, чтобы все их каждый раз изучать и оценивать, а чтобы не забыть исправить критичные моменты.
Для этого все неустранённые ошибки выпускаемого ПО должны быть зафиксированы в багтрекере. Влияющие на безопасность или релиз (например, конкретный клиент ждёт в релизе новую функцию) должны быть каким-то образом помечены, чтобы можно было легко убедиться, что всё готово к выпуску новой версии. Мы, например, используем специальную пометку задач флажками и перед релизом проверяем, что не осталось открытых задач с этими флагами.
Также процесс предписывает обеспечить возможность проверки целостности ПО (5.20.2.3-5.20.2.4):
5.20.2.3 Разработать регламент обеспечения целостности ПО, передаваемого пользователям.
5.20.2.4 Обеспечивать возможность проверки пользователями целостности ПО.
Речь идёт о подписи в исполняемых файлах и/или контрольных суммах, которые можно проверить.
Дополнительные ссылки:
1. Мазеин Михаил. Задача готова! Или нет? Definition of Done и зачем он нужен.
2. Что такое приёмочное тестирование?
3. Wikipedia. Подпись исполняемого кода.
4. Автоматизация подписи кода в современных условиях.
5. УБИ.145: Угроза пропуска проверки целостности программного обеспечения.