| Полное название | ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования» |
|---|---|
| Кто утвердил | Росстандарт |
| Номер и дата | 56939-2024, 20.12.2024 |
| Статус | Действует |
| Кого касается | Разработчики ПО, заказчики и организации, оценивающие процессы разработки |
Зачем нужен этот стандарт
Долгое время безопасность в разработке понималась как проверка готового продукта: выпустили — нашли уязвимости — исправили. Стандарт меняет подход: безопасность должна быть встроена в процесс, а не добавляться в конце.
ГОСТ Р 56939-2024 заменил версию 2016 года и стал основной точкой опоры для безопасной разработки в России. Он описывает общие требования к процессам создания и сопровождения ПО.
Что требуется
Стандарт требует, чтобы у разработчика были описаны процессы: анализ требований безопасности, проектирование, кодирование, проверка, выпуск и реагирование на уязвимости.
Отдельное внимание — анализу кода. Это статический анализ исходного кода, динамический анализ работающего приложения, композиционный анализ зависимостей и функциональное тестирование безопасности. Проще говоря, проверять нужно и свой код, и библиотеки, которые вы используете.
Почему зависимости важны
Современное приложение на большую часть состоит из чужих библиотек. Уязвимость в одной из них может свести на нет всю защиту. Поэтому стандарт требует отслеживать состав ПО и реагировать на сообщения об уязвимостях.
Это же объясняет, почему «мы написали безопасный код» недостаточно: нужно понимать, что подключаете.
Как это выглядит на практике
Команда описывает процесс разработки, назначает ответственных, выбирает инструменты анализа и встраивает проверки в конвейер сборки. На каждый релиз фиксируются результаты проверок, а найденные проблемы попадают в трекер.
Важно не количество инструментов, а регулярность и реакция. Если сканер находит проблемы, а их никто не разбирает, процесс не работает.
Кому это нужно
Разработчикам ПО, которые хотят соответствовать требованиям заказчиков и регуляторов. Заказчикам, которые включают требования по безопасной разработке в договор. Организациям, которые оценивают зрелость процессов.
Официальный текст
Стандарт доступен через Федеральный информационный фонд стандартов. Мы пересказываем смысл, точные формулировки — в официальном тексте.