🛠 Требования к безопасной разработке: ГОСТ 56939 и ФСТЭК

С 20 декабря 2024 действует новая редакция ГОСТ Р 56939-2024, взамен версии 2016 года. Если регламенты ссылаются на старый номер, они устарели

Что важно в новой редакции:
▪️ Безопасность встроена в процесс с самого начала: моделирование угроз и атак, безопасная архитектура, а не поиск дыр в готовом продукте
▪️ Формализованы процессы на всём цикле: от требований и статического анализа кода до фаззинга, тестирования и приёмки
▪️ Защита самой среды разработки: разграничение доступа к результатам тестов, защищённое хранение, антивирус

Где это становится обязательным:
Для финсектора связка жёсткая. По требованиям ЦБ прикладное и платёжное ПО проходит анализ уязвимостей по ОУД4 (ГОСТ 15408-3) либо сертификацию ФСТЭК. Это статический и динамический анализ, пентест на стенде и поиск по БДУ ФСТЭК

Смысл один: уязвимость дешевле поймать в коммите, чем в проде под атакой. Стандарт лишь оформляет это в процесс

@tomhunter
Наш канал в MAX