Электронный фонд правовой
и нормативно-технической документации
ГОСТ Р 58412-2019 Защита информации. Разработка безопасного программного обеспечения. Угрозы безопасности информации при разработке программного обеспечения
ГОСТ Р 58412-2019
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
Защита информации
РАЗРАБОТКА БЕЗОПАСНОГО ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ
Угрозы безопасности информации при разработке программного обеспечения
Information protection. Secure software development. Software development life cycle threats
ОКС 35.020
Дата введения 2019-11-01
Предисловие
1 РАЗРАБОТАН Федеральной службой по техническому и экспортному контролю (ФСТЭК России), Акционерным обществом "Научно-производственное объединение "Эшелон" (АО "НПО "Эшелон")
2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 "Защита информации"
3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 21 мая 2019 г. N 204-ст
4 ВВЕДЕН ВПЕРВЫЕ
Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (gost.ru)
Введение
Настоящий стандарт входит в комплекс стандартов, направленных на достижение целей, связанных с предотвращением появления и/или устранением уязвимостей программ, и содержит систематизированный перечень угроз безопасности информации, которые могут возникать при разработке программного обеспечения.
Информация, представленная в настоящем стандарте, может быть использована разработчиком программного обеспечения при выборе (определении) и реализации мер по разработке безопасного программного обеспечения, установленных ГОСТ Р 56939.
1 Область применения
Настоящий стандарт устанавливает перечень и содержит описание угроз безопасности информации, которые могут возникать при разработке программного обеспечения. Настоящий стандарт предназначен для разработчиков и производителей программного обеспечения и применяется совместно с ГОСТ Р 56939. Информация о мерах по разработке безопасного (защищенного) программного обеспечения, установленных ГОСТ Р 56939, реализация которых способствует нейтрализации угроз безопасности информации при разработке программного обеспечения, приведена в приложении А.
Перечень и описание угроз безопасности информации, представленные в настоящем стандарте, могут использоваться для определения угроз безопасности, актуальных для среды разработки программного обеспечения и разрабатываемого программного обеспечения. В некоторых случаях, например, в процессе разработки программ для ЭВМ с открытым кодом или при использовании программ для ЭВМ с открытым кодом в составе разрабатываемого ПО разработчик может принять осознанное решение об отсутствии необходимости сохранения конфиденциальности определенных компонентов ПО, что соответствующим образом может отразиться на результатах идентификации и оценки угроз безопасности информации: угрозы нарушения конфиденциальности информации, содержащейся в указанных компонентах ПО будут являться неактуальными.
2 Нормативные ссылки
В настоящем стандарте использованы нормативные ссылки на следующие стандарты:
ГОСТ 19781 Обеспечение систем обработки информации программное. Термины и определения
ГОСТ Р 50922 Защита информации. Основные термины и определения
ГОСТ Р 51275 Защита информации. Объект информатизации. Факторы, воздействующие на информацию. Общие положения
ГОСТ Р 54593 Информационные технологии. Свободное программное обеспечение. Общие положения
ГОСТ Р 56939 Защита информации. Разработка безопасного программного обеспечения. Общие требования
ГОСТ Р ИСО 10007 Менеджмент организации. Руководящие указания по управлению конфигурацией
ГОСТ Р ИСО/МЭК 12207 Информационная технология. Системная и программная инженерия. Процессы жизненного цикла программных средств
ГОСТ Р ИСО/МЭК 27000 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Общий обзор и терминология
ГОСТ Р ИСО/МЭК 27001-2006 Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования
Примечание - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя "Национальные стандарты" за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.
3 Термины и определения
В настоящем стандарте применены термины по ГОСТ Р ИСО/МЭК 27000, ГОСТ Р ИСО 10007, ГОСТ 19781, ГОСТ Р 50922, ГОСТ Р 51275, ГОСТ Р 54593, ГОСТ Р 56939, а также следующие термины с соответствующими определениями:
3.1 инструментальное средство: Программа, используемая как средство разработки, тестирования, анализа, производства или модификации других программ или документов на них.
3.2 исходный код программы: Программа в текстовом виде на каком-либо языке программирования.
3.3 среда разработки программного обеспечения: Среда, в которой осуществляется разработка программного обеспечения.
Документ «ГОСТ Р 58412 2019» устанавливает требования к разработке безопасного программного обеспечения, акцентируя внимание на угрозах безопасности информации, возникающих в процессе его создания. Этот стандарт применяется в различных сферах, включая разработку программных продуктов для государственных и частных организаций, а также в области информационных технологий, где безопасность данных имеет критическое значение.
Основное назначение документа заключается в формулировании методов и процедур, направленных на идентификацию, анализ и управление угрозами безопасности информации. В нем регламентируются параметры, касающиеся оценки рисков, а также требования к документированию и внедрению мер по обеспечению безопасности программного обеспечения на всех этапах его жизненного цикла. Стандарт также охватывает аспекты тестирования и верификации, направленные на обеспечение соответствия программных продуктов установленным требованиям.
Ключевыми аспектами, регулируемыми данным стандартом, являются методы оценки угроз и уязвимостей, а также процедуры по их устранению. Важные технические детали включают классификацию угроз, методы их анализа и подходы к проведению испытаний, что позволяет минимизировать риски, связанные с эксплуатацией программных продуктов. Стандарт также определяет измеряемые величины, которые могут использоваться для оценки уровня безопасности разрабатываемого программного обеспечения.
Целевая аудитория документа включает производителей программного обеспечения, лаборатории, занимающиеся тестированием и сертификацией, а также контролирующие органы, ответственные за соблюдение норм и стандартов в области информационной безопасности. Стандарт предоставляет методические рекомендации, которые могут быть использованы как для новых разработок, так и для оценки уже существующих программных решений.
Практическое значение «ГОСТ Р 58412 2019» заключается в его влиянии на безопасность и качество разрабатываемого программного обеспечения. Соблюдение требований стандарта способствует повышению уровня защиты информации, что, в свою очередь, снижает риски утечек данных и кибератак. Это также способствует улучшению совместимости программных решений и повышению доверия пользователей к продуктам, соответствующим установленным стандартам.
В документе также могут быть указаны изменения и дополнения по сравнению с предыдущими версиями, которые касаются уточнения методов оценки угроз и улучшения процедур тестирования. Эти изменения направлены на адаптацию стандарта к современным вызовам в области информационной безопасности и обеспечивают большую гибкость в его применении.
Описание документа носит справочный характер, достоверность этого материала не гарантируется.
Чтобы получить полный доступ к этому и другим документам, приобретайте доступ к Информационной сети «Техэксперт» - лидеру в области комплексного обеспечения предприятий нормативно-технической документацией.
доступны в системах «Техэксперт» и «Кодекс»
Возможно вас заинтересуют
ГОСТ 34499-2018 Техника сельскохозяйственная. Машины для уборки овощных и бахчевых культур. Методы испытаний
ГОСТ 34498-2018 Техника сельскохозяйственная. Машины для послеуборочной обработки овощных и бахчевых культур. Методы испытаний
ГОСТ 28722-2018 Техника сельскохозяйственная. Косилки и косилки-плющилки. Методы испытаний (с Поправкой)
ГОСТ Р 58413-2019 Услуги населению. Услуги багетных мастерских. Общие требования
ГОСТ Р 58414-2019 Услуги населению. Услуги организаторов похорон. Общие требования
ГОСТ Р 58415-2019 Бензол нефтехимический. Технические условия