ГОСТ Р 56939—2016
5.7 Меры по разработке безопасного программного обеспечения, реализуемые в процессе
менеджмента документацией и конфигурацией программы
5.7.1 Меры по разработке безопасного программного обеспечения, подлежащие реали-
зации
При выполнении менеджмента документацией и конфигурацией программы разработчик ПО
должен реализоватьследующие меры:
- реализация и использование процедуры уникальной маркировки каждой версии ПО;
- использованиесистемы управления конфигурацией ПО.
5.7.2 Цели и результаты реализации мор по разработке безопасного программного обес
печения
Реализация мер способствует достижению цели обеспечения целостности элементов конфигу
рации. имеющихотношение к разрабатываемому ПО. идоступа к ним заинтересованныхсторон.
В результатеуспешной реализации мер:
- определяют элементы конфигурации, имеющие отношение к разрабатываемому ПО. в отно
шении которыхдолжно проводиться управление конфигурацией;
- разрабатывают идокументируют стратегию маркировки каждой версии безопасного ПО и иден
тификации элементов конфигурации, которая реализуется в течение жизненного цикла ПО;
- контролируют целостностьопределенныхэлементов конфигурации.
5.7.3 Требования к реализации мер по разработке безопасного программного обеспечения
5.7.3.1 Разработчиком ПО должна быть роализована процедура, позволяющая выполнять
уникальную маркировку каждой версии ПО.
Для организации работ, выполняемых в процессах жизненного цикла ПО. и подтверждения соот
ветствия требованиям настоящего стандарта документация разработчика ПО должна содержать
описание методов, используемыхдля уникальной маркировки каждой версии ПО.
5.7.3.2 Разработчик ПО должен определить элементы конфигурации, имеющие отношение к
разрабатываемому ПО. которые должны контролироваться системой управления конфигурацией ПО.
Разработчик ПО должен использовать систему управления конфигурацией ПО. позволяющую уни
кально идентифицировать определенные элементы конфигурации.
Для организации работ, выполняемых в процессах жизненного цикла ПО. и подтверждения соот
ветствия требованиям настоящего стандартадокументация разработчика ПОдолжна содержать:
- перечень элементов конфигурации, которые должны контролироваться системой управления
конфигурацией ПО;
- описание методов, используемыхдля уникальной идентификации элементов конфигурации;
- порядокиспользования системы управления конфигурацией ПО;
- подтверждение использованиясистемы управления конфигурацией ПО.
П р и м е ч а н и е — В область действия системы управления конфигурацией ПО могут быть включены
следующие элементы конфигурации:
- программа (дистрибутив программы);
- программные и эксплуатационные документы.
- исходный код программы:
- программные и загрузочные модули, в том числе модули сторонних разработчиков ПО.
- инструментальные средства и связанная с ними информация;
- информация, связанная с обновлениями ПО и устранениями уязвимостей программы:
- перечень выявленных уязвимостей программы.
5.7.3.3 Система управления конфигурацией ПО должна идентифицировать элементы конфигу
рации. которые связаны с реализацией функций безопасности ПО (при наличии требований безопас
ности. предъявляемыхк ПО).
Для организации работ, выполняемых в процессах жизненного цикла ПО. и подтверждения соот
ветствия требованиям настоящего стандарта документация разработчика ПО должна содержать
переченьэлементов конфигурации, которые связаны с реализацией функций безопасности ПО.
П р и м е ч а н и е — Выполнение данного требования можно обеспечить посредством организационных и
технических мер.
5.7.3.4 Система управления конфигурацией ПО должна предоставлять средства для определе
ния всех элементов конфигурации, на которые воздействует модификация данного элемента конфи
гурации.
15