ФСТЭК опубликовал план на 2025 год по разработке проектов национальных стандартов

10 января ФСТЭК утвердил план по разработке проектов национальных стандартов на 2025 год.

В нём были определены следующие направления проектирования:

• Организация и управление защитой информации
• Защита информации от неправомерной передачи или распространения
• Идентификация и аутентификация
• Требования к технике защиты информации
• Управление доступом
• Разработка безопасного программного обеспечения

Направления «организация и управление защитой информации» и «защита информации от неправомерной передачи или распространения»

Для направлений «организация и управление защитой информации» и «защита информации от неправомерной передачи или распространения» в проекте предусмотрены стандарты, описывающие общие положения.

Направление «идентификация и аутентификация»

Направление «идентификация и аутентификация» планируется раскрыть более обширно. Речь идёт о четырёх стандартах, которые будут описывать:

• Уровни доверия аутентификации
• Управление идентификацией и аутентификацией
• Типовые угрозы и рекомендации по управлению идентификацией и аутентификацией

Направление «требования к технике защиты информации»

Направление «требования к технике защиты информации» включает в себя пересмотр существующего ГОСТ Р 52447-2005 с добавлением классификации средств защиты информации от НСД, а также проектирование нового стандарта «Защита информации. Информационный ресурс служебных баз данных средств защиты информации. Общие положения»
Направление «управление доступом» содержит две части:

• Основные положения
• Рекомендации по верификации формальной модели управления доступом

Планируется дополнение третьей частью, включающей рекомендации по разработке формальной модели управления доступом, и четвёртой — рекомендации по верификации средства защиты информации, реализующего политики управления доступом, на основе формализованных описаний модели управления доступом.

Направление «разработка безопасного программного обеспечения»

В направлении «разработка безопасного программного обеспечения» планируется разработка четырёх стандартов.
Они будут описывать:

• Общие требования к динамическому анализу ПО при разработке безопасного ПО
• Термины и определения
• Общие требования к доверенной среде исполнения
• Общие требования к композиционному анализу ПО при разработке безопасного ПО
• Методологию и разработку системы с конструктивной информационной безопасностью
• Методику оценки уровня внедрения процессов разработки безопасного программного обеспечения
• Руководство по внедрению процессов разработки безопасного программного обеспечения

Вышеперечисленные стандарты будут устанавливать требования по безопасной разработке программного обеспечения, производимого на территории РФ, исключая наличие в нём уязвимостей, недекларированных возможностей, и устанавливая меры по защите информации, в том числе от НСД.