Средство защиты информации обычно сертифицируют как продукт: испытательная лаборатория проверяет конкретное изделие. Для продукта, который часто обновляется, это долго.
С 1 июня 2024 года можно сертифицировать и процесс разработки. Приказ ФСТЭК России от 01.12.2023 № 240 утвердил Порядок проведения сертификации процессов безопасной разработки программного обеспечения средств защиты информации. Проверяют не изделие, а то, как разработчик создаёт и сопровождает программу. Сертификацию самого средства защиты это не отменяет. Порядок действует в редакции приказа ФСТЭКФедеральная служба по техническому и экспортному контролю — Регулятор технической защиты информации (ИСПДн, ГИС, КИИ); ведёт реестр сертифицированных СЗИ. России от 30.06.2025 № 230.
Кого это касается
Порядок адресован изготовителю средства защиты информации, которое защищает государственную тайну или иную информацию ограниченного доступа (пункт 1). Заявку подаёт сам изготовитель (пункт 4). Обязанности пройти сертификацию процессов Порядок не устанавливает: это решение изготовителя.
Оператора информационной системы Порядок не обязывает. Если оператор ГИСГосударственная информационная система — С 01.09.2026 — система, созданная на основании федерального закона, акта Президента или Правительства РФ (федеральная) либо закона, акта высшего должностного лица или органа власти субъекта РФ (региональная), ст. 13 Федерального закона от 27.07.2006 № 149-ФЗ. Меры защиты — по приказу ФСТЭК России от 11.04.2025 № 117. сам пишет программы для своих систем, безопасную разработку от него требует пункт 50 Требований, утверждённых приказом ФСТЭК России от 11.04.2025 № 117. Для значимого объекта КИИКритическая информационная инфраструктура — Информационные системы и сети госорганов и организаций ключевых отраслей; режим защиты установлен 187-ФЗ. требования к прикладному ПО задаёт пункт 29.3 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239. Сертификат процессов ни там, ни там не предусмотрен. Как выполнить эти требования, мы разобрали в статье Регламент безопасной разработки ПО по ГОСТ Р 56939-2024.
Но оператору Порядок полезен. Он перечисляет, что проверяющий смотрит, чтобы убедиться в безопасной разработке. По этому перечню удобно проверить себя и подрядчика.
На соответствие чему
Процессы проверяют на соответствие ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования» (пункт 1 Порядка). Первоначальная редакция Порядка ссылалась на ГОСТ Р 56939-2016. Приказ № 230 заменил ссылку на стандарт 2024 года. В нём требования собраны в 25 процессов.
Сравнение двух редакций стандарта показывает, что добавилось. Новыми стали планирование процессов (5.1), безопасность секретов (5.15), композиционный анализ (5.16), проверка на внедрение вредоносного кода через цепочки поставок (5.17) и вывод ПО из эксплуатации (5.25).
Руководство по безопасной разработке
Главный документ сертификации — руководство по безопасной разработке программного обеспечения. Его прикладывают к заявке (пункт 5) и передают органу по сертификации (пункт 16). Пункт 5.1 Порядка требует, чтобы руководство содержало семь групп сведений:
- область действия руководства;
- цели организации в создании безопасного ПО;
- перечень и описание процессов безопасной разработки;
- роли и обязанности работников в этих процессах;
- перечень документации по процессам 5.1–5.25 стандарта;
- правила планирования и проведения внутренних проверок и сообщения об их результатах;
- действия по улучшению процессов.
Руководство по безопасной разработке утверждают руководители организации. Его издают и доводят до всех работников, которые участвуют в безопасной разработке.
Область действия важна вдвойне. Сертификат выдают именно на неё (пункт 30). Если область ограничена двумя продуктами, третий она не охватывает.
Как проходит сертификация
| Шаг | Что происходит | Срок |
|---|---|---|
| 1. Выбор органа | Изготовитель выбирает орган по сертификации, аккредитованный ФСТЭК России, и согласует с ним сроки (пункт 3) | — |
| 2. Заявка | Заявка во ФСТЭК России с руководством по безопасной разработке. Сведения заявки — в пункте 4, рекомендуемый образец — в приложении № 1 | — |
| 3. Рассмотрение | ФСТЭК России рассматривает заявку. Если в ней не хватает сведений или руководство не соответствует пункту 5.1, заявку возвращают на доработку | 15 рабочих дней (пункты 7 и 9) |
| 4. Решение | ФСТЭК России принимает решение о сертификации и направляет его изготовителю и органу по сертификации (пункт 10) | — |
| 5. Проверка | Орган по сертификации проверяет процессы на площадке изготовителя (пункты 17–19) | По договору |
| 6. Протокол и заключение | Протокол сертификации с результатами по каждому процессу и экспертное заключение о соответствии (пункты 20–21) | — |
| 7. Материалы во ФСТЭК | Орган готовит проект сертификата и передаёт материалы во ФСТЭК России (пункт 24) | — |
| 8. Решение о выдаче | ФСТЭК России рассматривает материалы и принимает решение о выдаче сертификата, если заключение положительное и недостатков нет | Не более 30 календарных дней со дня поступления материалов; при отрицательном заключении отказ — не позднее 5 рабочих дней (пункты 25–26) |
| 9. Вручение | Сертификат вручают изготовителю или направляют заказным письмом | 10 рабочих дней после подписания (пункт 30) |
Сертификацию проводят по договору изготовителя с органом по сертификации (пункт 2). Сроки самой проверки Порядок не задаёт: их устанавливает договор.
Что проверяет орган по сертификации
Проверка идёт на материально-технической базе изготовителя в России: там, где программу разрабатывают, собирают, хранят и поддерживают (пункт 18). Изготовитель обязан обеспечить экспертам органа по сертификации доступ к среде разработки и сборки. Такую формулировку пункт получил в редакции приказа № 230.
Пункт 19 называет шесть направлений проверки:
- Документы. Соответствует ли руководство пункту 5.1 Порядка, а документация — процессам 5.1–5.25 стандарта.
- Артефакты. Есть ли у изготовителя результаты выполнения процессов: отчёты, журналы, записи. Одного регламента мало: нужны артефакты, которые стандарт предусматривает для процесса.
- Инструменты. Есть ли средства разработки и тестирования, а также средства композиционного, статического и динамического анализа — для процессов 5.8–5.12, 5.16, 5.18 и 5.19.
- Практика. Делают ли на самом деле то, что написано в руководстве и документации.
- Инструментальный контроль. Эксперты сами проверяют, как работают процессы, в том числе сборочную среду.
- Люди. Хватает ли работников со знаниями и навыками, нужными для процессов.
Отсюда главный практический вывод. Документы проверяют вместе с практикой. Руководство, которое обещает статический анализ каждого изменения, должно подтверждаться отчётами анализатора с разметкой срабатываний. Если отчётов нет, руководство само показывает несоответствие.
Если нашли несоответствия
Если процессы не соответствуют стандарту, изготовитель получает экспертное заключение с этим выводом (пункт 22). Он устраняет несоответствия и сообщает об этом органу по сертификации почтовым отправлением. Орган проводит повторную сертификацию, но только в объёме, нужном для проверки исправлений (пункт 23).
Недостатки могут найтись и позже, в материалах, которые орган передал во ФСТЭК России. Тогда ФСТЭК направляет уведомление с описанием недостатков (пункт 27). Орган с участием изготовителя устраняет их и представляет доработанные материалы не позднее 30 календарных дней со дня подписания уведомления (пункт 28). Если доработанные материалы не пришли в срок, ФСТЭК отказывает в выдаче сертификата (пункт 29).
Сертификат и его срок
- Срок действия — тот, что указан в заявке, но не больше пяти лет (пункт 30).
- Сведения о сертификате вносят в перечень сертификатов соответствия процессов безопасной разработки.
- Если сертификат утерян, ФСТЭК выдаёт дубликат в течение 10 рабочих дней со дня регистрации заявления (пункт 31).
- При реорганизации, смене названия или адреса изготовителя выдают новый сертификат (пункты 32–34). Прежний подлинник возвращают во ФСТЭК в течение 5 рабочих дней со дня получения нового (пункт 37).
- ФСТЭК России вправе приостановить или прекратить действие сертификата (пункт 38).
Как подготовиться
- Определите область. Какое ПО охватывает руководство; при необходимости назовите продукты и версии. От этого зависят и состав руководства, и объём проверки.
- Пройдите 25 процессов. По каждому отметьте, что выполняется, чем это подтверждается и где пробелы. Это начало анализа текущего состояния и плана развития процессов, которых требует процесс 5.1 стандарта.
- Соберите руководство. Удобно сделать по разделу на каждую из семи групп сведений. Регламенты процессов можно оформить отдельно или включить в руководство (пункт 4.12 стандарта).
- Автоматизируйте проверки. Статический и композиционный анализ, поиск секретов, фаззинг удобно запускать в конвейере сборки. Периодичность, охват и разбор результатов закрепите в регламентах.
- Проведите внутреннюю проверку. Руководство всё равно должно её описывать. Пройдите те же шесть направлений, что и эксперт, до приезда эксперта.
- Обучите людей. Знания работников проверяют отдельно. План обучения и учёт пройденного обучения — артефакты процесса 5.2.
Какие проверки кода нужны и что записывать в их регламенты и отчёты, мы разобрали в статье Проверки кода по ГОСТ Р 56939-2024.
Частые вопросы
Обязана ли организация сертифицировать процессы разработки? Нет. Порядок описывает, как пройти сертификацию, если изготовитель средства защиты этого хочет. Обязанности он не вводит.
Мы оператор ГИС и сами пишем ПО. Нужен ли нам сертификат процессов? Пункт 50 приказа № 117 требует реализовать меры разделов 4 и 5 ГОСТ Р 56939-2024, но сертификата процессов не требует. Порядок № 240 касается изготовителей средств защиты информации. Если вы одновременно выпускаете средство защиты, это отдельный вопрос.
Кто выдаёт сертификат — орган по сертификации или ФСТЭК? Проверяет орган по сертификации, аккредитованный ФСТЭК России. Решение о выдаче принимает и сертификат подписывает ФСТЭК России.
Можно ли пройти сертификацию на площадке за рубежом? Нет. В действующей редакции Порядка проверка идёт на материально-технической базе изготовителя, расположенной в России (пункт 18).
Сколько длится вся процедура? Сроки ФСТЭК России заданы: 15 рабочих дней на заявку и до 30 календарных дней на материалы. Срок самой проверки зависит от договора с органом по сертификации и от готовности изготовителя.
Можно ли одно руководство вместо 25 регламентов? Да. Стандарт разрешает объединить регламенты в одно руководство (пункт 4.12). Но руководство для сертификации всё равно должно содержать семь групп сведений из пункта 5.1 Порядка.
Проверить себя можно бесплатными калькуляторами: нужен ли вам ГОСТ Р 56939-2024 и на каком основании, и самооценка по 25 процессам — готовность и недостающие артефакты.
Главное
Приказ ФСТЭК России № 240 позволяет изготовителю средства защиты сертифицировать процесс разработки на соответствие ГОСТ Р 56939-2024. Основа — руководство по безопасной разработке с семью группами сведений из пункта 5.1. Орган по сертификации проверяет документы, артефакты, инструменты, практику, сборочную среду и людей на площадке изготовителя в России. Сертификат выдаёт ФСТЭК России на область, указанную в руководстве, сроком до пяти лет. Операторам систем Порядок не обязателен, но его перечень проверок — хороший ориентир для самопроверки и для требований к подрядчику.