ГОСТ Р 56939—2016
5.2 Меры по разработке безопасного программного обеспечения, реализуемые при
выполнении проектирования архитектуры программы
5.2.1 Меры по разработке безопасного программного обеспечения, подлежащие
реализации
При выполнении проектирования архитектуры программы разработчик ПО должен реализовать
следующие меры:
- моделированиеугроз безопасности информации;
- уточнение проекта архитектуры программы с учетом результатов моделирования угроз безо
пасности информации.
5.2.2 Цели и результаты реализации мер по разработке безопасного программного
обеспечения
Реализация мер способствуетдостижению следующих целей:
- создание и документирование проекта архитектуры программы с учетом требований побезопас
ности. предъявляемых к разрабатываемому ПО. для его дальнейшего использования в процессах жиз
ненного цикла ПО. связанныхс реализацией итестированием ПО;
- формирование исходных данных для выполнения динамического анализа кода программы,
фаззинг-тестирования программы и тестирования на проникновение в рамках процесса квалифика
ционноготестирования ПО.
В результате успешной реализации мер:
- требования по безопасности, предъявляемые к ПО. уточняют по результатам выполнения моде
лирования угроз безопасности информации, которые могут возникнуть вследствие применения ПО;
- проект архитектуры программы разрабатывают с учетом необходимости выполнения требо
ваний по безопасности, предъявляемых к разрабатываемому ПО:
- формируют исходные данные (перечень выявленных потенциальных угроз безопасности
информации), используемые при проведении динамического анализа кода программы, фаззинг-тести
рования программы и тестирования на проникновение.
5.2.3 Требования к реализации мер по разработке безопасного программного обеспечения
5.2.3.1 Разработчик ПО должен выполнить моделирование угроз безопасности информации,
которые могут возникнуть вследствие применения ПО, с целью выявления потенциальных угроз
безопасности информации и обоснования требований по безопасности, предъявляемых к разрабаты
ваемому ПО. Требования по безопасности, предъявляемые к разрабатываемому ПО (подраздел 5.1).
могутбыть уточнены сучетом результатов моделирования угроз безопасности информации.
Для организации работ, выполняемые в процессах жизненного цикла ПО. и подтверждения соот
ветствия требованиям настоящего стандартадокументация разработчика ПОдолжна содержать:
- описание используемой методологии моделирования угрозбезопасности информации;
- списоквыявленных потенциальныхугроз безопасности информации (при выявлении);
- описание проектных решений и/или указаний по применению разрабатываемого ПО. направ
ленных на нейтрализацию выявленных потенциальныхугроз безопасности информации.
П р и м е ч а н и е — Входными данными для процесса моделирования угроз безопасности информации яв
ляются в первую очередь сведения о проекте архитектуры программы (предполагаемых компонентах программы, их
интерфейсах и концепции их совместного выполнения), в том числе информация о заимствованных у сторонних
разработчиков ПО компонентах и информация из открытых источников (например, из банка данных угроз безопас
ности информации Федеральной службы по техническому и экспортному контролю (ФСТЭК России)), связанная с
типовыми сценариями компьютерных атак и угрозами безопасности информации. Моделирование угроз безопас
ности информации выполняют с целью выявления потенциальных угроз безопасности информации, которые могут
возникнуть вследствие применения ПО. связанных с ее проектными (архитектурными) особенностями на ранней
стадии разработки (до начала выполнения процессов конструирования икомплексирования ПО) и уточнения проек та
архитектуры программы без доработки исходного кода программы.
5.2.3.2 Проект архитектуры программы (логическая структура программы, в которой идентифи
цированы компоненты, ихинтерфейсы иконцепция взаимодействия междуними)долженбытьуточненс
учетом необходимости нейтрализации потенциальныхугроз безопасности информации, которые были
выявлены на этапе моделирования угроз безопасности информации, и выполнения требований по
безопасности, установленных в процессе анализа требований к ПО.
Для организации работ, выполняемых в процессах жизненного цикла ПО, и подтверждения соот
ветствия требованиям настоящего стандарта документация разработчика ПО должна содержать
документально оформленный проектархитектуры программы.
7