Разработка безопасного ПО
Экосистема "Горизонт-ВС" разработана по ГОСТ и требованиям безопасности программного обеспечения. В ней реализованы ключевые процессы РБПО.
- Планирование процессов разработки безопасного ПО
- Обучение сотрудников
- Формирование и предъявление ТБ ПО
- Управление конфигурацией ПО
- Управление жизненным циклом недостатков и запросов на изменение ПО
- Разработка, уточнение и анализ архитектуры ПО
- Моделирование угроз и разработка описания поверхности атаки
- Формирование и поддержание в актуальном состоянии правил кодирования
- Экспертиза исходного кода
- Статический анализ
- Динамический анализ
- Использование безопасной системы сборки ПО
- Обеспечение безопасности сборочной среды ПО
- Обеспечение целостности кода при разработке ПО
- Обеспечение безопасности используемых секретов
- Использование инструментов композиционного анализа
- Проверка кода на предмет внедрения вредоносного кода через цепочки поставок
- Функциональное тестирование
- Нефункциональное тестирование
- Обеспечение безопасности при выпуске готовой к эксплуатации версии ПО
- Безопасная доставка программного обеспечения пользователям
- Обеспечение поддержки ПО на этапе эксплуатации пользователями
- Обеспечение реагирования на информацию об уязвимостях
- Поиск уязвимостей в ПО при эксплуатации
- Обеспечение безопасности при выводе ПО из эксплуатации
Отсутствие известных уязвимостей
- Отсутствие известных уязвимостей — в программном обеспечении, внедряемом в ИС у Заказчика, отсутствуют известные уязвимости программного кода, которые могут привести к реализации актуальных угроз безопасности информации, или их использование (эксплуатация) для нанесения ущерба или несанкционированного доступа существенно затруднено.
Статический анализ исходного кода
- Проведение статического анализа — "Пангео Горизонт" обеспечивает проведение статического анализа исходного кода программы с целью выявления недостатков программы (потенциально уязвимых конструкций). Статический анализ проводится как в отношении всех компонентов.
- Документирование результатов анализа — документация "Пангео Горизонт" содержит список выявленных потенциально уязвимых конструкций в исходном коде программы (при выявлении), описание действий, направленных на их устранение, или обоснование невозможности или отсутствия необходимости в доработке программы.
- Сведения о статическом анализе — для подтверждения соответствия требованиям документация "Пангео Горизонт" содержит:
- Исполнители статического анализа — статический анализ исходного кода программы выполняют разработчик ПО или сторонние организации, обладающие компетенцией в области выявления уязвимостей, для актуальной версии исходного кода программы.
- Цели статического анализа — статический анализ исходного кода программы позволяет:
Отчётность по проверкам
- Предоставление отчётов — отчёты о проведении соответствующих проверок исходного кода ПО, устанавливаемого в контур Заказчика, прилагаются к закупочной документации.
Требования к методическому обеспечению
Методическое обеспечение процесса выполнения работ по Договору определяется совокупностью следующих стандартов и руководящих документов, описывающих процесс создания автоматизированных систем:
| Стандарт | Наименование |
|---|---|
| ГОСТ 34.201-2020 | Информацион ные технологии. Комплекс стандартов на автоматизированные системы. Виды, комплектность и обозначение документов при создании автоматизированных систем |
| ГОСТ Р 59793-2021 | Информационные технологии. Комплекс стандартов на автоматизированные системы. Автоматизированные системы. Стадии создания |
| ГОСТ Р 59792-2021 | Информационные технологии. Комплекс стандартов на автоматизированные системы. Виды испытаний автоматизированных систем |
Система полностью соответствует перечисленным требованиям, обеспечивая безопасную разработку ПО, проведение статического анализа исходного кода, документирование результатов проверок и соблюдение стандартов создания автоматизированных систем