Информационный ресурс по разработке безопасного программного обеспечения (РБПО) по ГОСТ Р 56939‑2024
РБПО по ГОСТ Р 56939‑2024
Предлагаем вашему вниманию материалы, которые познакомят вашу команду с методологией безопасной разработки программного обеспечения и ГОСТ Р 56939‑2024.
ГОСТ Р 56939‑2024
Название: Разработка безопасного программного обеспечения. Общие требования.
Дата введения: 20.12.2024 (взамен ГОСТ Р 56939—2016).
Что внутри: Стандарт описывает 25 процессов, внедрение которых способствует зрелости цикла разработки и, как следствие, качеству, надёжности и безопасности разрабатываемых программных проектов.
- 1. Планирование процессов разработки безопасного программного обеспечения.
- 2. Обучение сотрудников.
- 3. Формирование и предъявление требований безопасности к программному обеспечению.
- 4. Управление конфигурацией программного обеспечения.
- 5. Управление недостатками и запросами на изменение программного обеспечения.
- 6. Разработка, уточнение и анализ архитектуры программного обеспечения.
- 7. Моделирование угроз и разработка описания поверхности атаки.
- 8. Формирование и поддержание в актуальном состоянии правил кодирования.
- 9. Экспертиза исходного кода.
- 10. Статический анализ исходного кода.
- 11. Динамический анализ кода программы.
- 12. Использование безопасной системы сборки программного обеспечения.
- 13. Обеспечение безопасности сборочной среды программного обеспечения.
- 14. Управление доступом и контроль целостности кода при разработке программного обеспечения.
- 15. Обеспечение безопасности используемых секретов.
- 16. Использование инструментов композиционного анализа.
- 17. Проверка кода на предмет внедрения вредоносного программного обеспечения через цепочки поставок.
- 18. Функциональное тестирование.
- 19. Нефункциональное тестирование.
- 20. Обеспечение безопасности при выпуске готовой к эксплуатации версии программного обеспечения.
- 21. Безопасная поставка программного обеспечения пользователям.
- 22. Обеспечение поддержки программного обеспечения при эксплуатации пользователями.
- 23. Реагирование на информацию об уязвимостях.
- 24. Поиск уязвимостей в программном обеспечении при эксплуатации.
- 25. Обеспечение безопасности при выводе программного обеспечения из эксплуатации.
В основу информационного ресурса легли
30 вебинаров
Организованных ООО «ПВС» и учебным центром «МАСКОМ». Вместе с экспертами из различных компаний был сделан разбор каждого процесса, перечисленного в ГОСТ Р 56939–2024. Суммарное время — около 50 часов.
Публикации и доклады сотрудников ООО «ПВС»
Посвящённые статическому анализу кода, практикам безопасной разработки, написанию качественного кода, обучению сотрудников.
Цикл из 70 постов про РБПО
В телеграм-канале Андрея Карпова «Бестиарий программирования».
Обзорные вебинары ООО «ПВС»
По теме ГОСТ Р 56939—2024, ГОСТ Р 71207—2024, «Профиля защиты» ЦБ 2025 года и т. д.
Общее представление о вебинарах можно составить на основании следующей видеоподборки
Все материалы предоставляются бесплатно и доступны после регистрации
Кому будут полезны материалы
Разработчикам надёжного ПО
Всем, кто хочет создавать надёжные и безопасные программные продукты. ГОСТ Р 56939—2024 можно рассматривать как описание 25 полезных практик, с помощью которых можно существенно увеличить зрелость процесса разработки ПО.
Специалистам по внедрению
Специалистам, перед которыми стоит задача внедрения в компании процессов безопасной разработки с целью прохождения сертификации ФСТЭК (разработчики, руководители, специалисты ИБ и т. д.).
Руководителям и экспертам
Специалистам, которые хотят лучше разобраться с требованиями, приводимыми в приказе ФСТЭК №117 и методическом документе ЦБ РФ «Профиль защиты». Оба эти документа ссылаются на ГОСТ Р 56939—2024.
Содержание
Ориентировочное время изучения, включая вебинары и знакомство с дополнительными материалами, составит около двух рабочих недель.
- Начальный обзор ГОСТ Р 56939—2024
- Причины введения ГОСТ Р 56939—2024 взамен версии 2016 года
- Область применения стандарта и его структура
- Разбор терминов
- Подробный разбор каждого из 25 процессов (вебинары, пояснения, ссылки)
- Дополнительные вебинары
Над продуктом работали
В записи вебинаров приняло участие более 30 экспертов из компаний, связанных с информационной безопасностью. Это позволило разносторонне рассмотреть различные темы и продемонстрировать большое количество инструментов, которые могут понадобиться при внедрении процессов РБПО.
