Образец описания архитектуры программного обеспечения по ГОСТ Р 56939-2024
Архитектура определяет, где в программе могут появиться уязвимости и где их искать. Стандарт ГОСТ Р 56939-2024 требует установить принципы проектирования, снижающие число недостатков, выполнить первичное проектирование и уточнять архитектуру по ходу разработки (пункт 5.6). Для ПО значимого объекта КИИ 1 категории описание структуры на уровне подсистем с сопоставлением функций и интерфейсов прямо требует подпункт 29.3.1 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239.
Как получить документ
Два пути: сформировать в кабинете или купить готовый образец за 1 000 ₽.
Описание архитектуры программного обеспечения по вашим данным
Документ собирается по самооценке процессов и перечню инструментов из мастера режима «Разработка безопасного ПО» — их ведут в кабинете. Анкета образца этого не посчитает, поэтому под вашу организацию он собирается в кабинете.
Что даёт кабинет
- ✓Документы с реквизитами и сведениями вашей организации, готовые к подписи
- ✓Сведения подставляются из того, что вы уже ввели, а пробелы видны до скачивания
- ✓Образцы заполнения во всех вариантах — для просмотра на платном тарифе, с файлами — при покупке документа
Раздел входит в тариф «Полный».
Что должно быть в документе
- принятые принципы проектирования, в том числе с точки зрения безопасности;
- назначение программы и сценарии использования;
- среду функционирования и ограничения применения;
- подсистемы: назначение, структура, языки программирования;
- взаимодействие подсистем между собой и с другим ПО: интерфейсы, порты, протоколы;
- сопоставление функций и интерфейсов функциональной спецификации с подсистемами — для объектов КИИ 1 категории;
- критерии уточнения архитектуры и сведения об уточнениях.
Как оформить
- Начните со схемы подсистем и списка всех сетевых портов и протоколов — они понадобятся и для модели угроз.
- Запишите принципы безопасности, которым действительно следуете: разделение привилегий, протоколирование, проверка прав в каждом запросе.
- Для каждой подсистемы укажите язык и объём кода: от этого зависит выбор анализаторов.
- Установите события, при которых описание уточняется, и записывайте сами уточнения с причинами.
- Утвердите описание у руководителя.
Сформируйте этот документ под свой профиль — с подстановкой реквизитов и без ошибок.
Сформировать в ГрамотаИБЧастые вопросы
Нужно ли сопоставление функций с подсистемами всем?
Нет. Прямо его требует подпункт 29.3.1 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239, — для ПО, планируемого к применению в значимых объектах 1 категории. Остальным оно полезно, но не обязательно; в описании достаточно указать, что требование не применяется и почему.
Как часто уточнять архитектуру?
Стандарт требует установить критерии уточнения и уточнять архитектуру с установленной периодичностью или при определённых событиях (пункты 5.6.2.3 и 5.6.2.4 ГОСТ Р 56939-2024). Обычно — при новом внешнем интерфейсе, модуле или протоколе и не реже раза в год.
Документы того же комплекта
Входит в полный комплект
- Полный комплект документов по безопасной разработке программного обеспечения — 45 документов с образцами за одну организацию, 8 900 ₽
Все образцы раздела: Безопасная разработка ПО (ГОСТ Р 56939-2024).
Нормативная основа: ГОСТ Р 56939-2024 (разработка безопасного ПО). Подробный разбор — в статье «Регламент безопасной разработки ПО по ГОСТ Р 56939-2024: что нужно оператору ГИС».
Материал носит справочный характер и не заменяет юридическую оценку под конкретную ситуацию.