Образцы полного комплекта документов по разработке безопасного ПО
Стандарт ГОСТ Р 56939-2024 описывает 25 процессов разработки безопасного ПО, и почти каждый оставляет свой след в документах: регламент, отчёт, протокол, перечень. По отдельности их трудно собрать в систему — непонятно, что из чего следует и где кончается один процесс. Комплект показывает всю систему разом на примере одного разработчика: самооценка процессов, план развития, регламенты и отчёты о проверках ссылаются друг на друга. Пять вариантов — пять разных поводов внедрять процессы: от сертификации средства защиты до небольшой команды, которая начинает с нуля.
Как получить документ
Два пути: сформировать в кабинете или купить готовый образец за 8 900 ₽.
Полный комплект документов по безопасной разработке программного обеспечения по вашим данным
Документ собирается по самооценке процессов и перечню инструментов из мастера режима «Разработка безопасного ПО» — их ведут в кабинете. Анкета образца этого не посчитает, поэтому под вашу организацию он собирается в кабинете.
Что даёт кабинет
- ✓Документы с реквизитами и сведениями вашей организации, готовые к подписи
- ✓Сведения подставляются из того, что вы уже ввели, а пробелы видны до скачивания
- ✓Образцы заполнения во всех вариантах — для просмотра на платном тарифе, с файлами — при покупке документа
Раздел входит в тариф «Полный».
Что должно быть в документе
- руководство по разработке безопасного ПО — общий документ, на который опираются регламенты (стандарт разрешает объединить регламенты в одном документе или вести их отдельно);
- отчёт об анализе состояния процессов и план их развития;
- регламенты процессов — требования, кодирование, экспертиза, статический и динамический анализ, композиционный анализ, сборка, доступ к коду, секреты;
- описание архитектуры, модель угроз ПО, перечень заимствованных компонентов и паспорт сборочной среды;
- отчёты и протоколы проверок кода;
- приказы о внедрении процессов и об утверждении регламентов — стандарт их не требует, это способ ввести документы в действие;
- опись комплекта — что входит и зачем нужен каждый документ.
Как оформить
- Выберите вариант, который ближе к вашей ситуации — по поводу внедрения процессов и размеру команды.
- Прочитайте отчёт об анализе состояния и план развития — с них начинается комплект.
- По описи найдите регламенты процессов, которые вы внедряете, и сравните их со своей практикой.
- Заполните пустые бланки своими сведениями, сверяясь с образцами.
- Чтобы сервис собрал документы по вашей самооценке и вашим инструментам, ведите мастер режима «Разработка безопасного ПО» в кабинете.
Соберите документы комплекта под свою организацию — с вашими реквизитами и сведениями о ваших системах.
Сформировать в ГрамотаИБЧастые вопросы
Почему комплект нельзя собрать под свою организацию прямо здесь?
Документы разработки безопасного ПО печатают самооценку каждого из 25 процессов, перечень инструментов и сроки доработок. Эти сведения ведутся в мастере режима в кабинете: публичной формой их не спросить. Здесь продаются образцы за вымышленного разработчика и пустые бланки.
Чем варианты отличаются друг от друга?
Поводом внедрять процессы и зрелостью команды. Изготовитель средства защиты готовит процессы к сертификации, поставщик ПО для значимых объектов КИИ выполняет требования заказчиков, исполнитель госконтракта — техническое задание, разработчик из реестра российских программ выбрал процессы добровольно, а небольшая команда внедряет их впервые. От этого зависят самооценка, план и состав отчётов.
Все ли документы есть в каждом варианте?
Нет, и это сделано намеренно. Образец есть у документа, который разработчику этого варианта по существу нужен. Заявку на сертификацию процессов подаёт только изготовитель средства защиты, сведения для оценки по требованиям к значимым объектам КИИ — только поставщик ПО для таких объектов. У небольшой команды программа тестирования, акт приёмки версии и журнал сообщений об уязвимостях стоят в плане на потом. Карточка варианта показывает, к скольким документам он даёт образец. Пустые бланки всех документов комплекта входят в покупку при любом варианте.
Документы того же комплекта
Все образцы раздела: Безопасная разработка ПО (ГОСТ Р 56939-2024).
Нормативная основа: ГОСТ Р 56939-2024 (разработка безопасного ПО). Подробный разбор — в статье «Проверки кода по ГОСТ Р 56939-2024: статический и динамический анализ, фаззинг, тестирование».
Материал носит справочный характер и не заменяет юридическую оценку под конкретную ситуацию.