Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
ГОСТ Р 56939-2024
О документе
Что это Национальный стандарт РФ «Защита информации. Разработка безопасного программного обеспечения. Общие требования», введён в действие с конца 2024 года и заменяет редакцию 2016 года. Это «зонтичный» документ РБПО: он задаёт общие требования к процессам безопасной разработки и к документации разработчика, в рамках которых SCA/OSA — лишь одна из мер. Именно этот ГОСТ отвечает на вопрос «почему композиционный анализ вообще обязателен», а не «как его делать руками».
Стандарт направлен на предупреждение появления, выявление и устранение дефектов и уязвимостей в ПО и адресован разработчикам и производителям. По сравнению с редакцией 2016 года усилены требования к работе с заимствованными (сторонними и open source) компонентами и прямо назван набор видов анализа — статический, динамический и композиционный — как инструментов выявления потенциальных уязвимостей. Применяется в связке с каталогом угроз ГОСТ Р 58412-2019 (что моделируем) и развивается проектом Проект ГОСТ Р КАПО в части композиционного анализа. Для курса это нормативная «крыша», к которой подвешиваются практики генерации SBOM/ППК, управления уязвимостями и лицензионной чистоты.
Ключевые требования
Что стандарт требует от процесса (на уровне, под который заточен курс) - Процессы РБПО, а не разовые проверки. Безопасная разработка оформляется как набор управляемых, повторяемых мер на всём жизненном цикле, а не как однократный скан перед релизом. - Работа с заимствованными компонентами. Сторонние и open source компоненты должны учитываться, анализироваться и контролироваться — это прямой мандат на инвентаризацию (SBOM/ППК) и композиционный анализ. - Применение средств анализа. Предусмотрено использование инструментов статического, динамического и композиционного анализа для выявления уязвимостей и ошибок. - Выявление и устранение недостатков. Найденные дефекты и уязвимости должны не только фиксироваться, но и устраняться с подтверждением исправления (ретест). - Документация разработчика. Меры, решения и их результаты подтверждаются документами процесса — без доказательной базы соответствие не показать.
Что считать evidence
- Комплект документации разработчика по процессам РБПО: описание мер, ответственных ролей, точек контроля в жизненном цикле.
- SBOM/ППК на релиз как инвентаризация заимствованных компонентов — с датой, версией продукта и инструментом генерации.
- Протокол композиционного анализа: перечень компонентов, найденные уязвимости, статусы — доказательство, что мера «композиционный анализ» реально применена.
- Записи об устранении недостатков и ретесте: дефект → исправление → повторная проверка, что он закрыт (Регламент ретеста после исправления).
- Матрица соответствия, связывающая требования стандарта с конкретными артефактами процесса (Матрица соответствия требованиям).
- Audit trail процесса: журнал решений и изменений, по которому меры воспроизводимы на следующем релизе (Журналирование и audit trail).
Маппинг на практики и шаблоны
| Объект | Связь |
|---|---|
| Процессная рамка композиционного анализа | Регламент композиционного анализа ПО |
| Трассировка требование → артефакт | Матрица соответствия требованиям · Матрица evidence для аудита |
| Подтверждение устранения дефекта | Регламент ретеста после исправления |
| Воспроизводимость и журнал процесса | Журналирование и audit trail |
| Инвентаризация заимствованных компонентов | П03. Генерация SBOM через Syft · Минимальный набор полей ППК |
| Место в курсе | М13. Нормативная трассировка и доказательная база |
Ограничение
Это учебная карточка Редакция 2024 года заменила ГОСТ Р 56939-2016: более старые материалы и ссылки могут опираться на устаревшую версию — проверяйте, на какую редакцию ссылается ваш проект. Формулировки требований здесь пересказаны для обучения и не заменяют официальный текст. Для аудита и сертификации сверяйте состав мер и документации с действующей редакцией стандарта и локальными регламентами Организации, а не с этим конспектом.