Владимир Арышев: ЦБ РФ, ФСТЭК И ФСБ начали уделять особое внимание безопасной разработке
Изображение: Glenn Carstens-Peters (unsplash)
Во время общения с журналистами издания CISOCLUB Владимир Арышев, эксперт по комплексным ИБ-проектам компании STEP LOGIC, заявил, что в последнее время ЦБ РФ, ФСТЭК И ФСБ начали уделять особое внимание безопасной разработке.
Как рассказал Владимир Арышев, в настоящий момент требования к безопасности разработки предъявляют Центральный банк России, ФСТЭК и ФСБ России (ФСБ в части разработки средств криптографической защиты информации). Нормативные документы Банка России, в частности, обязывают финансовые организации проводить анализ уязвимостей прикладного ПО, которое используется в платежных и иных финансовых операциях, по требованиям к оценочному уровня доверия не ниже ОУД 4. Основу нормативных требований к безопасной разработке ПО составляют государственный стандарты.
«В 2016 году ФСТЭК России был разработан и введен государственный стандарт ГОСТ Р 56939-2016, устанавливающий общие требования к содержанию и порядку выполнения работ, связанных с созданием безопасного (защищенного) ПО и формированием (поддержанием) среды обеспечения оперативного устранения выявленных ошибок и уязвимостей.
Данный стандарт предъявляет требования к процессу разработки на различных этапах жизненного цикла ПО и определяет меры, реализуемые при проектировании архитектуры программы, квалифицированном тестировании разрабатываемого ПО, а также в процессе менеджмента документации и конфигурации софта. В прошлом году «Лабораторией Касперского» была разработана новая версия стандарта, которая актуализирует требования с учетом развития ИТ, в том числе в сфере ИБ», — отметил Владимир Арышев.
Эксперт по комплексным ИБ-проектам компании STEP LOGIC уточнил, что с 1 апреля 2024 года в действие вступают два новых стандарта:
- ГОСТ Р 71206-2024 Защита информации. Разработка безопасного программного обеспечения. Безопасный компилятор языков C/C++. Общие требования, целью которого является уменьшение количества уязвимостей, внесенных инструментами компиляции при сборке программы в ее бинарный код;
- ГОСТ Р 71207-2024 Защита информации. Разработка безопасного программного обеспечения. Статистический анализ программного обеспечения. Общие требования, устанавливающий требования к методам, инструментам и специалистам, участвующим в статистическом анализе, так как его проведение является обязательным условием при оценке прикладного программного обеспечения по требованиям уровня доверия ОУД 4.
