Образец регламента реагирования на уязвимости и поиска уязвимостей программного обеспечения
После выпуска уязвимости находят двумя путями. О них сообщают пользователи и исследователи — тогда разработчик реагирует (пункт 5.23 ГОСТ Р 56939-2024). Или разработчик ищет их сам — в банке данных угроз ФСТЭК России, в других открытых источниках, повторными проверками кода (пункт 5.24). Регламент описывает оба пути. Он определяет, кто принимает сообщение, как оценивается его применимость и критичность, как часто идёт поиск и какие проверки проходит каждая поддерживаемая версия.
Как получить документ
Два пути: сформировать в кабинете или купить готовый образец за 600 ₽.
Регламент реагирования на уязвимости и поиска уязвимостей программного обеспечения по вашим данным
Документ собирается по самооценке процессов и перечню инструментов из мастера режима «Разработка безопасного ПО» — их ведут в кабинете. Анкета образца этого не посчитает, поэтому под вашу организацию он собирается в кабинете.
Что даёт кабинет
- ✓Документы с реквизитами и сведениями вашей организации, готовые к подписи
- ✓Сведения подставляются из того, что вы уже ввели, а пробелы видны до скачивания
- ✓Образцы заполнения во всех вариантах — для просмотра на платном тарифе, с файлами — при покупке документа
Раздел входит в тариф «Полный».
Что должно быть в документе
- обязанности и роли при реагировании на информацию об уязвимостях;
- правила реагирования — от регистрации до ответа заявителю;
- правила оценки актуальности и критичности уязвимости;
- периодичность поиска известных уязвимостей в общедоступных источниках;
- обязанности и роли при поиске уязвимостей в эксплуатируемых версиях;
- правила поиска уязвимостей программы, её компонентов и среды функционирования;
- состав и периодичность проверок каждой версии на весь срок поддержки.
Как оформить
- Опубликуйте адрес для сообщений об уязвимостях и назначьте, кто его читает.
- Заведите журнал учёта сообщений об уязвимостях: регистрация в день поступления, решение и ответ.
- Договоритесь, как оцениваете критичность, — по методике ФСТЭК России.
- Перечислите поддерживаемые версии и для каждой — проверки и их периодичность.
- Утвердите регламент. Сообщения ведите в журнале, результаты проверок сводите в регулярный отчёт.
Сформируйте этот документ под свой профиль — с подстановкой реквизитов и без ошибок.
Сформировать в ГрамотаИБЧастые вопросы
Как часто искать известные уязвимости?
Стандарт частоту не называет — её устанавливает регламент (пункт 5.23.3.1 ГОСТ Р 56939-2024). Главное — искать регулярно весь срок технической поддержки версии и проверять не только свой код, но и заимствованные компоненты (пункт 5.24.2.2).
Обязательны ли повторные проверки кода выпущенных версий?
Нет. Обязательны регламент и регулярный поиск в открытых источниках. Повторные проверки кода и конфигураций, в том числе программы поиска уязвимостей за вознаграждение, стандарт оставляет на усмотрение разработчика (примечание к пункту 5.24.2 ГОСТ Р 56939-2024).
Документы того же комплекта
Входит в полный комплект
- Полный комплект документов по безопасной разработке программного обеспечения — 45 документов с образцами за одну организацию, 8 900 ₽
Все образцы раздела: Безопасная разработка ПО (ГОСТ Р 56939-2024).
Нормативная основа: ГОСТ Р 56939-2024 (разработка безопасного ПО). Подробный разбор — в статье «Регламент безопасной разработки ПО по ГОСТ Р 56939-2024: что нужно оператору ГИС».
Материал носит справочный характер и не заменяет юридическую оценку под конкретную ситуацию.