Цели десятого процесса по ГОСТ Р 56939-2024:
Предотвращение внесения потенциально опасных конструкций и ошибок в ПО, а также использования опасных конструкций и уязвимостей из заимствованного кода.
Я в затруднении :) Это процесс, про который я могу написать очень много. Или, наоборот, мало, сведя всё к списку ссылок на другие материалы, где так или иначе мы разбирали соответствующие темы.
Попробую сделать что-то среднее. Начну с ссылок, а затем всё же бегло пройдусь по пунктам десятого процесса.
Начнём с темы статического анализа в целом:
- РБПО-020. Термин: статический анализ исходного кода программы.
- Терминология. Статический анализ кода.
- Почему обзоры кода — это хорошо, но недостаточно.
- Как внедрить статический анализатор кода в legacy проект и не демотивировать команду.
Рассмотрение 10-го процесса в ГОСТ Р 56939-2024 неразрывно связано с другим ГОСТ Р 71207-2024 — Статический анализ программного обеспечения. В нём говорится про то же самое, только более подробнее и конкретней.
В общем-то, можно сразу идти изучать ГОСТ Р 71207-2024 и внедрять описанные в нём рекомендации и процессы. А затем уже вернуться к артефактам ГОСТ Р 56939-2024 (п. 5.10.3).
Про ГОСТ Р 71207-2024 мы много писали и рассказывали. Поэтому как раз предлагаю начать с изучения этих материалов:
- Обзорный доклад: Использование статического анализатора в разработке безопасного программного обеспечения (ГОСТ Р 71207-2024) на примере PVS-Studio
- Поподробнее про C++: Cтатический анализ C++ кода по ГОСТ Р 71207-2024 на примере PVS-Studio
Если мало, то вот цикл из 5 вебинаров :)
- Общее описание и актуальность
- Терминология
- Критические ошибки
- Технологии анализа кода
- Процессы
Это ещё не все ссылки, но для первого поста достаточно. Если сразу будет слишком много ссылок, то вообще никто ничего открывать не будет :)