Приказ ФСТЭК России от 01.12.2023 № 240 «Об утверждении Порядка проведения сертификации процессов безопасной разработки программного обеспечения средств защиты информации» зарегистрирован Минюстом России 16.04.2024 (№ 77896) и действует с 01.06.2024. Порядок изменён приказом ФСТЭК России от 30.06.2025 № 230: в частности, процессы теперь сертифицируют на соответствие ГОСТ Р 56939-2024 вместо ГОСТ Р 56939-2016.
Что устанавливает
- процессы безопасной разработки ПО средств защиты информации сертифицируют на соответствие ГОСТ Р 56939-2024 (пункт 1);
- заявку во ФСТЭК России подаёт изготовитель, к ней прикладывается руководство по безопасной разработке (пункты 4–5);
- руководство содержит семь групп сведений: область действия, цели, процессы, роли, перечень документации по процессам 5.1–5.25 стандарта, внутренние проверки, улучшение процессов (пункт 5.1);
- проверку проводит аккредитованный орган по сертификации на материально-технической базе изготовителя в России, с доступом к среде разработки и сборки (пункты 17–18);
- проверяются документы, артефакты процессов, средства разработки и анализа кода, фактическая практика, сборочная среда и квалификация работников (пункт 19);
- сертификат выдаёт ФСТЭК России на область действия руководства, сроком не более пяти лет (пункт 30).
Сроки
| Что | Срок | Пункт |
|---|---|---|
| Рассмотрение заявки ФСТЭК России | 15 рабочих дней | 7, 9 |
| Решение о выдаче сертификата по материалам сертификации | не более 30 календарных дней | 26 |
| Отказ при заключении о невозможности выдачи | не позднее 5 рабочих дней | 25 |
| Устранение недостатков в материалах сертификации | не позднее 30 календарных дней со дня подписания уведомления | 28 |
| Вручение сертификата | 10 рабочих дней после подписания | 30 |
Кого касается
Изготовителей средств защиты информации. Оператора информационной системы Порядок не обязывает: безопасную разработку собственного ПО от оператора ГИС требует пункт 50 Требований, утверждённых приказом ФСТЭК России от 11.04.2025 № 117, сертификат процессов там не предусмотрен.
Разбор процедуры — в статье «Сертификация процессов безопасной разработки ПО: порядок ФСТЭК России № 240».