Электронный фонд правовой
и нормативно-технической документации
ГОСТ Р 71207-2024 Защита информации. Разработка безопасного программного обеспечения. Статический анализ программного обеспечения. Общие требования
ГОСТ Р 71207-2024
НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ
Защита информации
РАЗРАБОТКА БЕЗОПАСНОГО ПРОГРАММНОГО ОБЕСПЕЧЕНИЯ
Статический анализ программного обеспечения. Общие требования
Information protection. Secure software development. Software static analysis. General requirements
ОКС 35.020
Дата введения 2024-04-01
Предисловие
1 РАЗРАБОТАН Федеральной службой по техническому и экспортному контролю (ФСТЭК России), Федеральным государственным бюджетным учреждением науки "Институт системного программирования им.В.П.Иванникова Российской академии наук" (ИСП РАН)
2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 "Защита информации"
3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 18 января 2024 г. № 25-ст
4 ВВЕДЕН ВПЕРВЫЕ
Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. № 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.rst.gov.ru)
Введение
Уровень безопасности создаваемого программного обеспечения (ПО) связан с наличием уязвимостей и критических ошибок в программном коде. В свою очередь, количество найденных ошибок во многом определяется уровнем используемых в ходе разработки инструментов. Для этого современные инструменты поиска ошибок, такие как статические и динамические анализаторы, обеспечивают определенный набор характеристик анализа: полноту и качество, скорость, удобство для пользователя, применимость к современным языкам программирования и др.
Настоящий стандарт устанавливает общие требования к внедрению и выполнению статического анализа ПО, а также исходные данные, необходимые для его выполнения. Настоящий стандарт устанавливает требования к методам статического анализа, инструментам анализа (статическим анализаторам) и к специалистам, участвующим в анализе. Настоящий стандарт устанавливает методику проверки устанавливаемых требований к инструментам анализа.
Настоящий стандарт входит в комплекс стандартов, направленных на достижение целей, связанных с предотвращением появления и/или устранением уязвимостей программ, содержит общие требования по проведению статического анализа ПО и применяется совместно с ГОСТ Р 56939.
1 Область применения
Настоящий стандарт описывает порядок внедрения и выполнения статического анализа, устанавливает требования к его выполнению, классификацию ошибок, находимых статическими анализаторами, а также требования к методам анализа, к инструментам статического анализа, к специалистам, участвующим в выполнении анализа, а также к методике проверки статических анализаторов на соответствие требованиям данного стандарта.
Настоящий стандарт предназначен:
- для разработчиков статических анализаторов;
- для разработчиков средств защиты информации, средств обеспечения безопасности информационных технологий;
- для разработчиков программного обеспечения (ПО).
Доступ к полной версии документа ограничен
Документ «ГОСТ Р 71207 2024» устанавливает общие требования к статическому анализу программного обеспечения в контексте разработки безопасного программного обеспечения. Он предназначен для применения в организациях, занимающихся разработкой программных продуктов, а также в лабораториях и контролирующих органах, осуществляющих оценку безопасности программного обеспечения. Основное назначение стандарта заключается в повышении уровня безопасности и качества разрабатываемых программных решений через внедрение систематизированных подходов к статическому анализу.
Ключевыми аспектами, регламентируемыми данным стандартом, являются методы статического анализа, параметры оценки безопасности, а также требования к документации и процедурам, необходимым для выполнения анализа. Стандарт описывает различные методологии, включая использование автоматизированных инструментов, и определяет минимальные требования к их функциональности. Также в документе указаны критерии, по которым осуществляется оценка результатов анализа, что позволяет обеспечить единообразие и прозрачность в процессе оценки безопасности программного обеспечения.
Технические детали, содержащиеся в стандарте, охватывают условия испытаний и классификацию программного обеспечения по уровню риска. В частности, документ описывает, какие измеряемые величины и метрики должны использоваться для оценки уязвимостей и потенциальных угроз. Кроме того, стандарт учитывает различные аспекты, влияющие на качество программного обеспечения, такие как архитектурные решения, кодирование и тестирование, что позволяет создать комплексный подход к обеспечению безопасности.
Целевая аудитория стандарта включает производителей программного обеспечения, исследовательские лаборатории, а также органы контроля и сертификации. Стандарт предоставляет необходимую информацию для всех участников процесса разработки и оценки программных решений, что способствует улучшению взаимодействия между ними и повышению общей безопасности программных продуктов. Внедрение требований стандарта также может быть полезно для образовательных учреждений, занимающихся подготовкой специалистов в области информационной безопасности.
Практическое значение «ГОСТ Р 71207 2024» заключается в его влиянии на безопасность, качество и совместимость программного обеспечения. Стандарт способствует снижению рисков, связанных с уязвимостями в программных продуктах, и повышает доверие пользователей к разработанным решениям. Кроме того, соблюдение требований данного документа может оказать положительное влияние на охрану труда, обеспечивая безопасность пользователей и защиту данных. В документе также предусмотрены изменения и дополнения, которые касаются актуализации методов анализа в соответствии с современными угрозами и технологиями, что подчеркивает его адаптивность к быстро меняющейся среде информационной безопасности.
Описание документа носит справочный характер, достоверность этого материала не гарантируется.
Чтобы получить полный доступ к этому и другим документам, приобретайте доступ к Информационной сети «Техэксперт» - лидеру в области комплексного обеспечения предприятий нормативно-технической документацией.
доступны в системах «Техэксперт» и «Кодекс»
Возможно вас заинтересуют
ГОСТ Р 71206-2024 Защита информации. Разработка безопасного программного обеспечения. Безопасный компилятор языков С/С++. Общие требования
ГОСТ Р 57700.41-2024 Компьютерные модели и моделирование. Верификация компьютерных моделей. Определение напряженно-деформированного состояния конструкций в упругопластической области
ГОСТ Р 57700.39-2024 Компьютерные модели и моделирование. Программное обеспечение компьютерного моделирования физических процессов. Общие требования
ГОСТ 33158-2023 Бензины. Определение марганца методом атомно-абсорбционной спектроскопии (с Поправкой)
ГОСТ Р 71153.1-2024 Соединения клеевые деталей и узлов железнодорожного подвижного состава. Часть 1. Требования к квалификации предприятий
ГОСТ Р 71153.2-2024 Соединения клеевые деталей и узлов железнодорожного подвижного состава. Часть 2. Руководство по проектированию и проверке клеевых соединений для железнодорожного подвижного состава