FAQ по ГОСТ Р 56939-2024: безопасная разработка программного обеспечения

Что такое ГОСТ Р 56939-2024?

Национальный стандарт «Защита информации. Разработка безопасного программного обеспечения. Общие требования», утверждённый приказом Росстандарта от 24.10.2024 № 1504-ст. Действует с 20.12.2024 и заменил ГОСТ Р 56939-2016. Описывает 25 процессов разработки безопасного ПО — от обучения разработчиков до вывода программы из эксплуатации; у каждого процесса есть артефакты, которыми выполнение подтверждается.

Обязателен ли ГОСТ Р 56939-2024?

Сам по себе нет: национальные стандарты применяются добровольно. Обязательным его делает ссылка. Пункт 50 Требований, утверждённых приказом ФСТЭК России от 11.04.2025 № 117, обязывает государственный орган, ГУП или государственное учреждение, которое само разрабатывает ПО для своих информационных систем, реализовать меры разделов 4 и 5 стандарта. Для разработчика стандарт обязателен, если его требует договор или техническое задание: тогда выполняются все требования стандарта, кроме рекомендаций со словами «рекомендуется» и «может» (пункт 4.14); для НИОКР — только процессы, явно перечисленные в ТЗ (пункт 4.15).

Нужен ли регламент безопасной разработки ПО?

Да, если организация подпадает под приказ ФСТЭК России № 117 и сама разрабатывает ПО: подпункт «д» пункта 14 требует внутренний регламент — порядок разработки безопасного ПО. Стандарт разрешает объединить регламенты процессов в одно руководство по разработке безопасного ПО (пункт 4.12).

Программу для государственной системы пишет подрядчик. Должен ли он выполнять ГОСТ Р 56939-2024?

Пункт 50 Требований № 117 сам по себе подрядчика не обязывает. По его абзацу третьему требования по разработке безопасного ПО в соответствии со стандартом могут быть включены в техническое задание по решению руководителя (ответственного лица) оператора; обязанности подрядчика определяют ТЗ и договор. В ТЗ стоит перечислить процессы и артефакты, которые подрядчик сдаёт вместе с программой.

Какие требования предъявляются к ПО значимого объекта КИИ?

Пункт 29.3 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239, устанавливает собственный набор требований к прикладному ПО, которое внедряют при создании, модернизации, реконструкции или ремонте значимого объекта и которое обеспечивает его функции. В частности: руководство по безопасной разработке, анализ угроз безопасности ПО, статический анализ исходного кода, фаззинг-тестирование, процедуры отслеживания и исправления ошибок и уязвимостей, способы и сроки доведения до пользователей сведений об уязвимостях, компенсирующих мерах и обновлениях с проверкой их целостности и подлинности. Для объектов 1 категории — также описание структуры ПО по подсистемам с сопоставлением функций и интерфейсов, динамический анализ и информирование об окончании поддержки. Выполнение оценивают на этапе проектирования по материалам разработчика (пункт 29.4). Соответствия всему ГОСТ Р 56939-2024 пункт 29.3 не требует.

Какие проверки кода требует ГОСТ Р 56939-2024?

Экспертизу исходного кода (5.9), статический анализ (5.10), динамический анализ с фаззинг-тестированием (5.11), композиционный анализ заимствованных компонентов (5.16), функциональное (5.18) и нефункциональное (5.19) тестирование; рядом — проверка заимствованного кода на вредоносное ПО (5.17) и обеспечение безопасности секретов (5.15; его требования стандарт оставляет на усмотрение пользователя и в нужном ему объёме). Состав подтверждающих документов у каждой проверки свой и указан в её подразделе: как правило, это регламент и результаты с разбором.

Нужны ли сертифицированные инструменты анализа кода?

Сам ГОСТ Р 56939-2024 сертификации инструментов не требует. Важно, чтобы инструмент подходил к языкам программирования, а его выбор, версия, настройки и результаты были задокументированы так, как требует подраздел соответствующего процесса.

Что такое сертификация процессов безопасной разработки?

Процедура по Порядку, утверждённому приказом ФСТЭК России от 01.12.2023 № 240: изготовитель средства защиты информации подтверждает, что его процессы разработки соответствуют ГОСТ Р 56939-2024. Заявку с руководством по безопасной разработке ФСТЭК России рассматривает 15 рабочих дней, проверку проводит орган по сертификации на площадке изготовителя в России, сертификат выдаётся на срок до пяти лет. Статус оператора информационной системы сам по себе не создаёт обязанности её проходить.

Можно ли не применять часть процессов стандарта?

Состав обязательных процессов определяют акт, договор или ТЗ, которые требуют соответствия стандарту. Если процесс к программе объективно неприменим — например, в ней нет заимствованных компонентов, — это обосновывают особенностями программы и фиксируют в руководстве; для НИОКР состав процессов и условия применимости закрепляют в ТЗ (пункт 4.15). Обоснование не отменяет обязательного требования, а ссылка на то, что так сейчас не делают, обоснованием не считается.

С чего начать внедрение безопасной разработки?

С анализа текущего состояния (процесс 5.1): пройти 25 процессов, отметить, что уже делается и чем подтверждается, затем подготовить план развития процессов (очерёдность внедрения, изменения в структуре, закупки, обучение) и план их реализации (сроки, этапы, ресурсы, ответственные) — их можно оформить одним документом. После этого — руководство по безопасной разработке и регламенты процессов.