Образцы документов: Безопасная разработка ПО (ГОСТ Р 56939-2024)
Национальный стандарт ГОСТ Р 56939-2024 описывает 25 процессов безопасной разработки — от обучения разработчиков до вывода программы из эксплуатации. Выполнение каждого процесса подтверждается артефактами: регламентом, отчётом инструмента, записью в системе задач. Их проверяет орган по сертификации, когда изготовитель средства защиты сертифицирует процессы по Порядку, утверждённому приказом ФСТЭК России от 01.12.2023 № 240, а также заказчик, если стандарт назван в техническом задании. Ниже — состав этих документов и образцы их заполнения.
По запросу «» образца нет
Каталог собран по обязанностям операторов персональных данных и владельцев информационных систем, и он не полон. Напишите, какой документ вам нужен, — подготовим комплект под вашу организацию: сам документ, приказ о введении его в действие и пояснительную записку о том, как с ним работать.
Документы · 44
Образец руководства по разработке безопасного программного обеспечения (ГОСТ Р 56939-2024)
Руководство устанавливает, к какому ПО применяются процессы безопасной разработки, кто за них отвечает, в каком они состоянии и какими документами подтверждаются; без него регламенты процессов не связаны между собой, а заявку на сертификацию процессов ФСТЭК России вернёт на доработку.
Разбор требований
есть образец заполнения
Образец приказа о внедрении процессов разработки безопасного программного обеспечения
Приказ вводит в действие руководство по разработке безопасного ПО, план развития процессов и программу обучения; без него эти документы остаются проектами, а работников нельзя обязать их выполнять.
Разбор требований
есть образец заполнения
Образец отчёта об анализе текущего состояния процессов разработки безопасного ПО
Отчёт фиксирует, какие процессы безопасной разработки реализованы и каких ресурсов не хватает; без него план развития составляется наугад, а заявленное в руководстве состояние процессов ничем не подтверждено.
Разбор требований
есть образец заполнения
Образец плана развития и реализации процессов разработки безопасного ПО
План показывает, какие процессы и в какие сроки будут доведены до требований стандарта и чем это обеспечено; без него частично реализованный процесс выглядит брошенным, а не внедряемым.
Разбор требований
есть образец заполнения
Образец программы обучения работников разработке безопасного программного обеспечения
Программа устанавливает, кто, когда и по каким курсам обучается безопасной разработке и как пересматриваются сами курсы; без неё обучение сводится к разовым курсам, которые нечем подтвердить.
Разбор требований
есть образец заполнения
Образец приказа об утверждении регламентов разработки безопасного программного обеспечения
Приказ вводит в действие регламенты процессов разработки безопасного ПО; без него регламенты не обязательны для работников, а проверяющий не видит, с какой даты процесс должен выполняться.
Разбор требований
есть образец заполнения
Образец регламента управления требованиями безопасности программного обеспечения
Регламент устанавливает, как требования безопасности попадают в разработку и как проверяется их выполнение; без него требования из технического задания и модели угроз теряются между задачами.
Разбор требований
есть образец заполнения
Образец регламента управления конфигурацией, недостатками и запросами на изменение ПО
Регламент устанавливает, как отслеживаются версии программы и документации и как каждый недостаток доводится до исправления; без него нельзя показать, какое изменение что исправило и кто его принял.
Разбор требований
есть образец заполнения
Образец описания архитектуры программного обеспечения по ГОСТ Р 56939-2024
Описание показывает, из каких подсистем состоит программа, как они взаимодействуют и какие решения приняты ради безопасности; без него модель угроз, поверхность атаки и цели фаззинга не на что опереть.
Разбор требований
есть образец заполнения
Образец модели угроз программного обеспечения и описания поверхности атаки
Модель угроз определяет, от чего защищается программа и какие её части доступны нарушителю; без неё экспертиза, фаззинг и динамический анализ направляются не туда, где выше риск.
Разбор требований
есть образец заполнения
Образец регламента оформления исходного кода и безопасного кодирования
Регламент устанавливает, как оформлять код и каких опасных конструкций избегать в каждом языке разработки; без него экспертиза кода опирается на вкус эксперта, а не на правила.
Разбор требований
есть образец заполнения
Образец регламента экспертизы исходного кода
Регламент устанавливает, какой код, кем и как проверяется до включения в программу; без него экспертиза зависит от того, кто в этот день свободен, и не направлена на поверхность атаки.
Разбор требований
есть образец заполнения
Образец регламента статического анализа исходного кода
Регламент устанавливает, чем и когда проверяется исходный код и что делается с каждым срабатыванием; без него анализатор запускается, но его предупреждения никто не разбирает.
Разбор требований
есть образец заполнения
Образец регламента динамического анализа кода и фаззинг-тестирования
Регламент устанавливает, какие модули и как проверяются при выполнении, включая фаззинг, и что делается с аварийными завершениями; без него фаззинг запускается от случая к случаю и не по тем целям.
Разбор требований
есть образец заполнения
Образец регламента доступа к исходному коду и контроля его целостности
Регламент устанавливает, кто и с какими правами работает с исходным кодом и как подтверждается, что код не изменён в обход правил; без него нельзя доказать целостность выпущенной версии.
Разбор требований
есть образец заполнения
Образец регламента использования секретов при разработке программного обеспечения
Регламент устанавливает, где хранятся пароли, ключи и токены, как они попадают в сборку и как проверяется, что их нет в коде; без него секреты расходятся по репозиториям и переменным конвейера.
Разбор требований
есть образец заполнения
Образец регламента композиционного анализа программного обеспечения
Регламент устанавливает, как ведётся перечень заимствованных компонентов и что делается с известной уязвимостью в зависимости; без него обновление библиотек идёт по случаю, а не по критичности.
Разбор требований
есть образец заполнения
Образец перечня заимствованных компонентов программного обеспечения (SBOM)
Перечень показывает, из каких чужих компонентов собрана версия и откуда они получены; без него невозможно быстро ответить, затрагивает ли продукт новая уязвимость в библиотеке.
Разбор требований
есть образец заполнения
Образец регламента сборки ПО и обеспечения безопасности сборочной среды
Регламент устанавливает, где и как собирается программа и как защищена сборочная среда; без него нельзя подтвердить, что пользователю передан результат сборки проверенного кода.
Разбор требований
есть образец заполнения
Образец паспорта сборочной среды программного обеспечения
Паспорт описывает, чем и где собирается программа и как защищена сборочная среда; без него проверяющему не с чем сравнить фактическую среду, а повторить сборку через год невозможно.
Разбор требований
есть образец заполнения
Образец отчёта об экспертизе исходного кода
Отчёт фиксирует, что проверено экспертами, какие замечания найдены и как они устранены; без него экспертизу кода нечем подтвердить.
Разбор требований
есть образец заполнения
Образец отчёта о статическом анализе исходного кода
Отчёт подтверждает, что код версии проверен анализаторами и каждое срабатывание разобрано; без него статический анализ нельзя предъявить ни органу по сертификации, ни заказчику.
Разбор требований
есть образец заполнения
Образец отчёта о динамическом анализе кода и фаззинг-тестировании
Отчёт подтверждает, что программа проверена при выполнении и найденные ошибки исправлены; без него фаззинг и динамический анализ нечем предъявить.
Разбор требований
есть образец заполнения
Образец отчёта о композиционном анализе программного обеспечения
Отчёт подтверждает, что заимствованные компоненты версии проверены на известные уязвимости и каждая найденная обработана; без него перечень зависимостей остаётся списком без вывода.
Разбор требований
есть образец заполнения
Образец протокола контроля целостности исходного кода
Протокол подтверждает, что исходный код версии не изменялся в обход правил доступа; без него нельзя показать целостность кода, из которого собран дистрибутив.
Разбор требований
есть образец заполнения
Образец протокола проверки заимствованного кода на внедрение вредоносного ПО
Протокол подтверждает, что полученные от поставщиков компоненты идентифицированы и проверены на вредоносное ПО; без него проверку цепочки поставок нечем подтвердить.
Разбор требований
есть образец заполнения
Образец заявки на сертификацию процессов безопасной разработки программного обеспечения
Заявка запускает сертификацию процессов безопасной разработки; без неё ФСТЭК России не примет решение о проведении сертификации, и орган по сертификации не начнёт работу.
Разбор требований
есть образец заполнения
Образец сведений о соответствии программного обеспечения требованиям по безопасности к ПО значимых объектов КИИ
Сведения показывают проектировщику значимого объекта, каким документом разработчик подтверждает каждое требование пункта 29.3; без них оценку приходится собирать по переписке, а разрывы в процессах остаются незамеченными до приёмки.
Разбор требований
есть образец заполнения
Образец журнала учёта обучения работников разработке безопасного программного обеспечения
Журнал подтверждает, что работники действительно прошли обучение и узнают о типовых ошибках и уязвимостях; без него программа обучения остаётся планом, который нечем доказать.
Разбор требований
есть образец заполнения
Образец реестра требований безопасности программного обеспечения
Реестр показывает, какие требования безопасности предъявлены к версии и что с каждым сейчас; без него нельзя доказать, что угрозы из модели угроз и пункты технического задания дошли до кода.
Разбор требований
есть образец заполнения
Образец перечня элементов конфигурации программного обеспечения
Перечень фиксирует, из каких отслеживаемых частей состоит продукт и кто отвечает за каждую; без него изменение, внесённое мимо системы контроля версий, некому заметить.
Разбор требований
есть образец заполнения
Образец сведений о сторонних поставщиках и критичных элементах инфраструктуры разработки
Сведения показывают, от кого зависит сборка и состав программы и где цепочку поставок могут атаковать; без них проверка заимствованного кода не знает, что проверять.
Разбор требований
есть образец заполнения
Образец программы функционального тестирования ПО
Программа заранее фиксирует, что и как будет проверено в версии; без неё отчёт о тестировании нечем сверить, а пропущенную функцию никто не заметит.
Разбор требований
есть образец заполнения
Образец отчёта о функциональном тестировании ПО
Отчёт подтверждает, что версия проверена на заявленных сборках и каждая найденная ошибка доведена до решения; без него приёмку версии не на что опереть.
Разбор требований
есть образец заполнения
Образец регламента нефункционального тестирования программного обеспечения
Регламент устанавливает, когда и как версия проверяется глазами нарушителя — тестированием на проникновение, сканированием и нагрузкой; без него такие проверки проводятся от случая к случаю, а их результаты не возвращаются в модель угроз.
Разбор требований
есть образец заполнения
Образец отчёта о нефункциональном тестировании ПО
Отчёт показывает, что программу проверили глазами нарушителя или под реальной нагрузкой и что модель угроз сверена с фактами; без него модель угроз остаётся предположением.
Разбор требований
есть образец заполнения
Образец регламента приёмки, выпуска и поставки программного обеспечения
Регламент устанавливает, кто решает выпустить версию и как она доходит до пользователя неизменённой; без него выпуск зависит от одного человека, а пользователю нечем проверить, что он установил именно ту версию.
Разбор требований
есть образец заполнения
Образец акта приёмки версии ПО
Акт показывает, что версию выпустили осознанно, со списком известных ошибок и проверенными подписями; без него нельзя доказать, что неустранённые ошибки кто-то оценил.
Разбор требований
есть образец заполнения
Образец формуляра версии ПО
Формуляр позволяет пользователю и проверяющему однозначно установить версию и её документацию; без него нельзя понять, к какой версии относятся руководства и обновления.
Разбор требований
есть образец заполнения
Образец регламента технической поддержки и информирования пользователей программного обеспечения
Регламент устанавливает, как пользователь получает помощь, узнаёт об обновлениях и об уязвимостях до выхода исправления; без него об уязвимости пользователь узнаёт из новостей, а не от разработчика.
Разбор требований
есть образец заполнения
Образец регламента реагирования на уязвимости и поиска уязвимостей программного обеспечения
Регламент устанавливает, что происходит с сообщением об уязвимости от получения до ответа заявителю и как разработчик сам ищет уязвимости в выпущенных версиях; без него сообщение теряется в общей очереди, а старые версии никто не проверяет.
Разбор требований
есть образец заполнения
Образец журнала учёта сообщений об уязвимостях программного обеспечения
Журнал доказывает, что ни одно сообщение об уязвимости не потерялось и по каждому принято решение в срок; без него нельзя показать заказчику или органу по сертификации, как работает реагирование.
Разбор требований
есть образец заполнения
Образец отчёта о поиске уязвимостей в эксплуатируемом программном обеспечении
Отчёт показывает, что выпущенные версии не брошены после поставки и известные уязвимости в них находят раньше злоумышленников; без него поиск уязвимостей при эксплуатации ничем не подтверждён.
Разбор требований
есть образец заполнения
Образец регламента вывода программного обеспечения из эксплуатации
Регламент устанавливает, когда версия снимается с поддержки и как об этом заранее узнают пользователи; без него поддержка заканчивается молча, и заказчик остаётся с уязвимой версией без плана перехода.
Разбор требований
есть образец заполнения
Другие срезы каталога
Персональные данные
71 документ
Инструкции и памятки для сотрудников
18 документов
СКЗИ
9 документов
Электронная подпись и МЧД
4 документа
КИИ и Указ №250
3 документа
Категорирование КИИ (187-ФЗ, ПП-127)
7 документов
Система безопасности КИИ (приказ № 235)
8 документов
Значимые объекты КИИ: проект и эксплуатация
19 документов
Коммерческая тайна
7 документов
Антитеррористическая защищённость: защита информации
5 документов
Оценка состояния защиты информации
2 документа
Электронные сервисы в государственных системах (ПП РФ № 1024)
7 документов
Государственные ИС (приказ № 117)
22 документа
Комплект по приказу ФСТЭК России № 21
весь комплект защиты ИСПДн по частям: по каждой системе, общие и работникам
34 документа
Не нашли нужный документ?
Каталог собран по обязанностям операторов персональных данных и владельцев информационных систем, и он не полон. Напишите, какой документ вам нужен, — подготовим комплект под вашу организацию: сам документ, приказ о введении его в действие и пояснительную записку о том, как с ним работать.
Соберите эти документы под свою организацию — с подстановкой реквизитов по ИНН и пояснительной запиской к каждому.
Все образцы документов