Образец отчёта о поиске уязвимостей в эксплуатируемом программном обеспечении

Отчёт о поиске уязвимостей подводит итог проверок версий, которые уже работают у пользователей. Стандарт ГОСТ Р 56939-2024 требует весь срок технической поддержки искать сведения об уязвимостях самого ПО и его сторонних компонентов (пункт 5.24). Отчёт составляют за период — месяц или квартал. В нём три части: что проверили и что нашли, как исправили, какие обновления выпустили и как они дошли до пользователей.

Как получить документ

Два пути: сформировать в кабинете или купить готовый образец за 800 ₽.

В личном кабинете

Отчёт о поиске уязвимостей в эксплуатируемом программном обеспечении по вашим данным

Документ собирается по самооценке процессов и перечню инструментов из мастера режима «Разработка безопасного ПО» — их ведут в кабинете. Анкета образца этого не посчитает, поэтому под вашу организацию он собирается в кабинете.

Что даёт кабинет

✓Документы с реквизитами и сведениями вашей организации, готовые к подписи
✓Сведения подставляются из того, что вы уже ввели, а пробелы видны до скачивания
✓Образцы заполнения во всех вариантах — для просмотра на платном тарифе, с файлами — при покупке документа

Раздел входит в тариф «Полный».

Сформировать в кабинете Тарифы

Без данных организации

Готовый заполненный образец и пустой бланк

800 ₽ разово

С платной подпиской — 400 ₽: тарифы

Ступень «Типовое содержание»: в образце заполнены реквизиты и содержание: состав данных, цели, сроки, перечни.

Тот же документ, полностью заполненный за вымышленную организацию. Видно, что и насколько подробно писать в каждое место, — бланк вы заполните сами. О себе сообщаете только почту.

Нужен образец под вашу сферу деятельности? Закажите его через форму обратной связи — достаточно назвать сферу, сведения о вашем объекте не нужны.

Что входит

✓Образец заполнения: тот же документ за вымышленную организацию, все пустые места заполнены подробно — в PDF
✓Пояснительная записка: зачем документ нужен, каким актом предусмотрен и как ввести его в действие
✓Отчёт о поиске уязвимостей в эксплуатируемом программном обеспечении — пустой бланк в PDF и DOCX, реквизиты и сведения впишете сами

Выберите вариант образца

Изготовитель средства защиты: сертификация процессов межсетевой экран уровня узла; процессы готовятся к сертификации по приказу ФСТЭК России № 240 Разработчик делового ПО из реестра российских программ система электронного документооборота; процессы выбраны добровольно — анализ кода и реагирование на уязвимости

Электронная почта

Согласен на обработку адреса почты для выдачи образца и связи со мной — политика обработки ПДн.

Начало образца увидите сразу, до оплаты. Пока файл не выгружен, деньги возвращаются полностью.

Что должно быть в документе

период отчёта и проверенные версии;
проведённые проверки — поиск в открытых источниках, композиционный анализ, повторный анализ кода;
найденные ошибки и уязвимости с идентификаторами;
исправление каждой найденной ошибки;
выпущенные обновления;
способ доставки обновлений и оповещения пользователей.

Как оформить

Возьмите перечни компонентов всех поддерживаемых версий и прогоните их по свежей базе уязвимостей.
Проверьте записи о своём ПО в банке данных угроз ФСТЭК России и других источниках.
Найденное передайте на устранение и запишите в журнал учёта сообщений об уязвимостях.
Подведите итог за период: исправления, выпуски, доставку и оповещение пользователей.

Сформируйте этот документ под свой профиль — с подстановкой реквизитов и без ошибок.

Сформировать в ГрамотаИБ

Частые вопросы

Как часто составлять отчёт?

Периодичность задаёт сам разработчик в регламенте поиска уязвимостей (пункт 5.24.3.1 ГОСТ Р 56939-2024). Обычно отчёт делают раз в квартал, а при больших объёмах — раз в месяц.

Чем этот отчёт отличается от отчёта о композиционном анализе?

Композиционный анализ проверяет версию перед выпуском. Этот отчёт охватывает все версии на поддержке и сведения, которые появились уже после выпуска. Он ещё показывает, как исправление дошло до пользователей.

Обязательно ли заново анализировать код?

Нет. Регулярные проверки кода и настроек при эксплуатации стандарт оставляет на усмотрение разработчика (примечание к пункту 5.24.2). Обязателен поиск сведений об уязвимостях ПО и его компонентов в открытых источниках.

Документы того же комплекта

Образец акта приёмки версии ПО

Акт по пунктам 5.20.3.2 и 5.20.3.4 ГОСТ Р 56939-2024: какие несоответствия остались в версии, что устранено, почему неустранённые ошибки не влияют на безопасность и как проверены подписи и контрольные суммы выпуска.

Образец журнала учёта обучения работников разработке безопасного программного обеспечения

Форма учёта по пункту 5.2 ГОСТ Р 56939-2024: кто из работников какой курс прошёл, с каким результатом и чем это подтверждено, а также семинары и рассылки о типовых ошибках и уязвимостях — с темой и составом участников.

Образец журнала учёта сообщений об уязвимостях программного обеспечения

Журнал по пунктам 5.23.3.2–5.23.3.4 ГОСТ Р 56939-2024: обращения пользователей и сведения об уязвимостях из внешних источников, проверка применимости, ответ заявителю, оценка актуальности и критичности, решение об устранении.

Образец заявки на сертификацию процессов безопасной разработки программного обеспечения

Заявка изготовителя средства защиты информации во ФСТЭК России на сертификацию процессов безопасной разработки по Порядку, утверждённому приказом ФСТЭК России от 01.12.2023 № 240: семь обязательных сведений, подпись, печать и приложение — руководство по безопасной разработке.

Входит в полный комплект

Полный комплект документов по безопасной разработке программного обеспечения — 45 документов с образцами за одну организацию, 8 900 ₽

Все образцы раздела: Безопасная разработка ПО (ГОСТ Р 56939-2024).

Нормативная основа: ГОСТ Р 56939-2024 (разработка безопасного ПО). Подробный разбор — в статье «Проверки кода по ГОСТ Р 56939-2024: статический и динамический анализ, фаззинг, тестирование».

Материал носит справочный характер и не заменяет юридическую оценку под конкретную ситуацию.