Образец регламента статического анализа исходного кода

Статический анализ — проверка исходного текста инструментом без запуска программы. Стандарт ГОСТ Р 56939-2024 требует регламент, анализатор для каждого языка программирования, определённые настройки, регистрацию всех предупреждений и повторный анализ после исправлений, изменений кода и обновления компиляторов и самих анализаторов (пункт 5.10). Наличие средств статического анализа отдельно проверяет орган по сертификации (пункт 19 Порядка, утверждённого приказом ФСТЭК России от 01.12.2023 № 240), а для ПО значимых объектов КИИ статический анализ требует подпункт 29.3.2 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239.

Как получить документ

Два пути: сформировать в кабинете или купить готовый образец за 800 ₽.

В личном кабинете

Регламент статического анализа исходного кода по вашим данным

Документ собирается по самооценке процессов и перечню инструментов из мастера режима «Разработка безопасного ПО» — их ведут в кабинете. Анкета образца этого не посчитает, поэтому под вашу организацию он собирается в кабинете.

Что даёт кабинет

✓Документы с реквизитами и сведениями вашей организации, готовые к подписи
✓Сведения подставляются из того, что вы уже ввели, а пробелы видны до скачивания
✓Образцы заполнения во всех вариантах — для просмотра на платном тарифе, с файлами — при покупке документа

Раздел входит в тариф «Полный».

Сформировать в кабинете Тарифы

Без данных организации

Готовый заполненный образец и пустой бланк

800 ₽ разово

С платной подпиской — 400 ₽: тарифы

Ступень «Типовое содержание»: в образце заполнены реквизиты и содержание: состав данных, цели, сроки, перечни.

Тот же документ, полностью заполненный за вымышленную организацию. Видно, что и насколько подробно писать в каждое место, — бланк вы заполните сами. О себе сообщаете только почту.

Нужен образец под вашу сферу деятельности? Закажите его через форму обратной связи — достаточно назвать сферу, сведения о вашем объекте не нужны.

Что входит

✓Образец заполнения: тот же документ за вымышленную организацию, все пустые места заполнены подробно — в PDF
✓Пояснительная записка: зачем документ нужен, каким актом предусмотрен и как ввести его в действие
✓Регламент статического анализа исходного кода — пустой бланк в PDF и DOCX, реквизиты и сведения впишете сами

Выберите вариант образца

Изготовитель средства защиты: сертификация процессов межсетевой экран уровня узла; процессы готовятся к сертификации по приказу ФСТЭК России № 240 Разработчик делового ПО из реестра российских программ система электронного документооборота; процессы выбраны добровольно — анализ кода и реагирование на уязвимости Поставщик ПО для значимых объектов КИИ система учёта ремонтов оборудования; заказчики — субъекты КИИ требуют выполнения пункта 29.3 приказа ФСТЭК России № 239 Исполнитель госконтракта: региональная государственная система система учёта обращений граждан; требования стандарта включены в техническое задание Небольшая продуктовая команда: процессы впервые облачный сервис онлайн-записи; обязательных требований нет, процессы внедряются по плану на полтора года

Электронная почта

Согласен на обработку адреса почты для выдачи образца и связи со мной — политика обработки ПДн.

Начало образца увидите сразу, до оплаты. Пока файл не выгружен, деньги возвращаются полностью.

Что должно быть в документе

перечень анализаторов для каждого используемого языка;
конфигурацию и параметры настройки анализаторов;
когда проводится анализ: при каждом изменении, перед выпуском;
порядок разметки срабатываний — истинное или ложное, с обоснованием;
когда проводится повторный анализ и пересматриваются настройки;
роли: кто размечает, кто согласует исключения.

Как оформить

Сопоставьте языки продукта с анализаторами — язык без анализатора проверяется экспертизой.
Сохраните конфигурацию анализаторов в репозитории: это тоже артефакт.
Установите правило: выпуск невозможен при неразмеченных срабатываниях.
Назначьте, кто согласует правила исключений.
Утвердите регламент.

Сформируйте этот документ под свой профиль — с подстановкой реквизитов и без ошибок.

Сформировать в ГрамотаИБ

Частые вопросы

Нужен ли сертифицированный статический анализатор?

Стандарт ГОСТ Р 56939-2024 сертификации анализатора не требует — он требует инструмент для каждого языка и регистрацию всех предупреждений. Свободные анализаторы подходят, если покрывают ваши языки.

Можно ли не разбирать ложные срабатывания?

Нет. Стандарт требует регистрации всех предупреждений, а отчёт должен содержать результаты разметки срабатываний (пункты 5.10.2.4 и 5.10.3.4 ГОСТ Р 56939-2024). Ложное срабатывание закрывается с обоснованием; повторяющиеся — правилом исключения, согласованным ответственным.

Документы того же комплекта

Образец акта приёмки версии ПО

Акт по пунктам 5.20.3.2 и 5.20.3.4 ГОСТ Р 56939-2024: какие несоответствия остались в версии, что устранено, почему неустранённые ошибки не влияют на безопасность и как проверены подписи и контрольные суммы выпуска.

Образец журнала учёта обучения работников разработке безопасного программного обеспечения

Форма учёта по пункту 5.2 ГОСТ Р 56939-2024: кто из работников какой курс прошёл, с каким результатом и чем это подтверждено, а также семинары и рассылки о типовых ошибках и уязвимостях — с темой и составом участников.

Образец журнала учёта сообщений об уязвимостях программного обеспечения

Журнал по пунктам 5.23.3.2–5.23.3.4 ГОСТ Р 56939-2024: обращения пользователей и сведения об уязвимостях из внешних источников, проверка применимости, ответ заявителю, оценка актуальности и критичности, решение об устранении.

Образец заявки на сертификацию процессов безопасной разработки программного обеспечения

Заявка изготовителя средства защиты информации во ФСТЭК России на сертификацию процессов безопасной разработки по Порядку, утверждённому приказом ФСТЭК России от 01.12.2023 № 240: семь обязательных сведений, подпись, печать и приложение — руководство по безопасной разработке.

Входит в полный комплект

Полный комплект документов по безопасной разработке программного обеспечения — 45 документов с образцами за одну организацию, 8 900 ₽

Все образцы раздела: Безопасная разработка ПО (ГОСТ Р 56939-2024).

Нормативная основа: ГОСТ Р 56939-2024 (разработка безопасного ПО). Подробный разбор — в статье «Проверки кода по ГОСТ Р 56939-2024: статический и динамический анализ, фаззинг, тестирование».

Материал носит справочный характер и не заменяет юридическую оценку под конкретную ситуацию.