Образец руководства по разработке безопасного программного обеспечения (ГОСТ Р 56939-2024)
Руководство — главный документ безопасной разработки. По нему орган по сертификации начинает проверку процессов, а заказчик значимого объекта КИИ — оценку программы. Стандарт ГОСТ Р 56939-2024 разрешает собрать все правила процессов в одном руководстве или вынести их в отдельные регламенты (пункт 4.12). Для сертификации состав руководства задан точно: пункт 5.1 Порядка, утверждённого приказом ФСТЭК России от 01.12.2023 № 240, перечисляет семь обязательных разделов.
Как получить документ
Два пути: сформировать в кабинете или купить готовый образец за 1 000 ₽.
Руководство по разработке безопасного программного обеспечения по вашим данным
Документ собирается по самооценке процессов и перечню инструментов из мастера режима «Разработка безопасного ПО» — их ведут в кабинете. Анкета образца этого не посчитает, поэтому под вашу организацию он собирается в кабинете.
Что даёт кабинет
- ✓Документы с реквизитами и сведениями вашей организации, готовые к подписи
- ✓Сведения подставляются из того, что вы уже ввели, а пробелы видны до скачивания
- ✓Образцы заполнения во всех вариантах — для просмотра на платном тарифе, с файлами — при покупке документа
Раздел входит в тариф «Полный».
Что должно быть в документе
- область действия: какие программы, версии и модули разрабатываются по правилам руководства и почему выбран именно этот состав;
- цели организации в создании безопасного программного обеспечения;
- перечень процессов раздела 5 ГОСТ Р 56939-2024 и состояние каждого — реализован, частично, внедряется или не применяется с обоснованием;
- роли и обязанности — ответственный за безопасную разработку, руководитель разработки, эксперты кода, тестировщики, администратор сборочной среды, поддержка;
- инструменты — система контроля версий, конвейер сборки, система задач, средства статического, динамического и композиционного анализа, фаззинга и хранения секретов;
- перечень документации по процессам 5.1–5.25 стандарта;
- правила внутренних проверок — кто, когда и что проверяет, куда идут результаты;
- действия по улучшению процессов и порядок пересмотра руководства.
Как оформить
- Определите состав ПО — продукт, версии, модули — и запишите, почему внутренние утилиты или стенды в него не входят.
- Назначьте ответственного за безопасную разработку и распределите роли среди работников.
- Оцените каждый из 25 процессов стандарта по фактам — регламентам, отчётам инструментов, записям в системе задач.
- Перечислите инструменты с версиями и проверьте, что для каждого языка программирования есть статический анализатор.
- Утвердите руководство приказом руководителя и ознакомьте с ним всех, кто участвует в разработке.
- Для процессов, которые реализованы не полностью, составьте план развития с датами и ответственными.
Сформируйте этот документ под свой профиль — с подстановкой реквизитов и без ошибок.
Сформировать в ГрамотаИБЧастые вопросы
Можно ли обойтись одним руководством без отдельных регламентов?
Да. Пункт 4.12 ГОСТ Р 56939-2024 разрешает объединить регламенты процессов в одном общем документе, и требований к оформлению стандарт не устанавливает. Отдельные регламенты удобнее, когда процессы ведут разные команды: правка правил статического анализа не тянет за собой переутверждение всего руководства.
Что будет, если в руководстве нет какого-то раздела?
Для сертификации процессов руководство прикладывается к заявке. Если оно не соответствует пункту 5.1 Порядка, утверждённого приказом ФСТЭК России от 01.12.2023 № 240, ФСТЭК России возвращает заявку на доработку (пункт 8 Порядка); уведомление приходит в течение 15 рабочих дней.
Нужно ли руководство, если мы не сертифицируем процессы?
Его требуют и в других случаях. Пункт 29.3.1 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239, называет руководство по безопасной разработке среди требований к прикладному ПО значимого объекта КИИ. Оператор государственной системы, который сам пишет ПО для неё, реализует меры разделов 4 и 5 стандарта (пункт 50 Требований, утверждённых приказом ФСТЭК России от 11.04.2025 № 117).
Можно ли отметить процесс как неприменимый?
Можно, если состав процессов определяет документ, который предъявляет требования, — техническое задание, договор или акт (пункт 4.14 ГОСТ Р 56939-2024). Неприменимость обосновывают в руководстве. Если документ требует соответствия стандарту целиком, обязательны все требования со словами «должен» и «следует».
Документы того же комплекта
Входит в полный комплект
- Полный комплект документов по безопасной разработке программного обеспечения — 45 документов с образцами за одну организацию, 8 900 ₽
Все образцы раздела: Безопасная разработка ПО (ГОСТ Р 56939-2024).
Нормативная основа: ГОСТ Р 56939-2024 (разработка безопасного ПО). Подробный разбор — в статье «Сертификация процессов безопасной разработки ПО: порядок ФСТЭК России № 240».
Материал носит справочный характер и не заменяет юридическую оценку под конкретную ситуацию.