Образец журнала учёта сообщений об уязвимостях программного обеспечения
Журнал учёта сообщений об уязвимостях — запись о том, как разработчик реагирует на каждое сообщение о слабом месте в своём ПО. Стандарт ГОСТ Р 56939-2024 требует обрабатывать запросы пользователей, проверять сведения об уязвимостях и решать, устранять ли их (пункт 5.23). В журнал попадает всё: письмо исследователя, обращение в поддержку, новая запись в банке данных угроз о библиотеке в составе продукта. По каждой строке видно, что проверили, что ответили и что решили.
Как получить документ
Два пути: сформировать в кабинете или купить готовый образец за 1 000 ₽.
Журнал учёта сообщений об уязвимостях программного обеспечения по вашим данным
Документ собирается по самооценке процессов и перечню инструментов из мастера режима «Разработка безопасного ПО» — их ведут в кабинете. Анкета образца этого не посчитает, поэтому под вашу организацию он собирается в кабинете.
Что даёт кабинет
- ✓Документы с реквизитами и сведениями вашей организации, готовые к подписи
- ✓Сведения подставляются из того, что вы уже ввели, а пробелы видны до скачивания
- ✓Образцы заполнения во всех вариантах — для просмотра на платном тарифе, с файлами — при покупке документа
Раздел входит в тариф «Полный».
Что должно быть в документе
- дату и время запроса, заявителя и статус обработки;
- вывод, есть ли за ошибкой уязвимость;
- описание уязвимости по ГОСТ Р 56545-2015 — идентификатор, класс, ПО и версия, тип недостатка;
- результат проверки применимости к поддерживаемым версиям;
- ответ заявителю;
- оценку актуальности и уровень критичности;
- решение об устранении и срок.
Как оформить
- Регистрируйте сообщение в день поступления, даже если оно похоже на обычную ошибку.
- Проверьте применимость на каждой поддерживаемой версии и запишите, как проверяли.
- Оцените критичность и выберите срок устранения по регламенту реагирования.
- Ответьте заявителю и закройте строку ссылкой на исправление или обоснованием отказа.
Сформируйте этот документ под свой профиль — с подстановкой реквизитов и без ошибок.
Сформировать в ГрамотаИБЧастые вопросы
Записывать ли сообщения, которые не подтвердились?
Да. Стандарт требует фиксировать результат анализа каждого запроса (пункт 5.23.3.2 ГОСТ Р 56939-2024). Неподтверждённое сообщение с обоснованием — такой же результат, как найденная уязвимость.
Нужно ли вносить уязвимости заимствованных библиотек?
Да, если сведения пришли извне — из банка данных угроз ФСТЭК России, от поставщика или из бюллетеня. Стандарт требует оценить их актуальность и критичность для своего ПО (пункт 5.23.2.5).
Где взять уровень критичности?
Шкалу из четырёх уровней задаёт пункт 5.2.18 ГОСТ Р 56545-2015: критический, высокий, средний, низкий. Оценку CVSS из банка данных берут за основу и поправляют на условия работы своего ПО.
Документы того же комплекта
Входит в полный комплект
- Полный комплект документов по безопасной разработке программного обеспечения — 45 документов с образцами за одну организацию, 8 900 ₽
Все образцы раздела: Безопасная разработка ПО (ГОСТ Р 56939-2024).
Нормативная основа: ГОСТ Р 56939-2024 (разработка безопасного ПО). Подробный разбор — в статье «Регламент безопасной разработки ПО по ГОСТ Р 56939-2024: что нужно оператору ГИС».
Материал носит справочный характер и не заменяет юридическую оценку под конкретную ситуацию.