ТК-362 завершает голосование по проекту национального стандарта о композиционном анализе программного обеспечения

Подготовлена окончательная редакция проекта национального стандарта ГОСТ Р «Защита информации. Разработка безопасного программного обеспечения. Композиционный анализ программного обеспечения. Общие требования».

Документ, подготовленный ведущими экспертами в области технической защиты информации – ФСТЭК России, ИСП РАН и ООО «Профископ», призван перекрыть недостаток нормативного регулирования контроля стороннего программного обеспечения в составе и процессах разработки безопасного ПО. В самом стандарте название соответствующего процесса сокращается до аббревиатуры «КАПО» по аналогии с иностранным «SCA (Software Composition Analysis)».

Безопасность программного обеспечения во многом определяется тем, какой сторонний код заимствуется в его состав или привлекается для процессов разработки, сборки и функционирования. Наличие уязвимостей в стороннем ПО и особенности его использования создают риски реализации угроз безопасности информации.

Противодействуют таким угрозам процессы, предусмотренные ГОСТ Р 56939-2024.

Новый стандарт дополняет и уточняет требования базового стандарта к трём процессам:

1. Использование инструментов композиционного анализа
2. Проверка кода на предмет внедрения вредоносного ПО через цепочки поставок
3. Поиску уязвимостей в ПО при эксплуатации

Новый стандарт также закрепляет несколько новых понятий в области КАПО и цепочках поставок:

• Контролируемый репозиторий (локально развернутый защищаемый репозиторий организации-разработчика)
• Стороннее (проприетарное) и привлекаемое (например, среда разработки) ПО
• Заимствованный программный компонент (исходный код, библиотека, образ контейнера или программный компонент в целом, используемые в разработке)
• Перечень программных компонентов (ППК, отечественный аналог SBOM), формат представления которого закреплен в приложении А стандарта

К требованиям стандарта также относятся:

• Разработка политики безопасности в отношении использования стороннего ПО, включающей правила его выбора, требования к проверкам безопасности и порядок эксплуатации контролируемых репозиториев
• Организация одного или нескольких контролируемых репозиториев, в которых размещаются заимствованные программные компоненты и компоненты собственной разработки, расположенные исключительно на территории РФ
• Исключение прямой загрузки заимствованных компонентов и привлекаемого ПО из внешних источников в обход контролируемого репозитория (для промежуточного проведения КАПО)
• Регулярное выполнение КАПО для всех используемых версий ПО на протяжении всего жизненного цикла
• Формирование ППК для каждой версии ПО, предназначенной для поставки и эксплуатации, с размещением его в контролируемом репозитории артефактов совместно с артефактами ПО (отмечена рекомендация на подпись ППК электронной подписью организации)

Отдельным пунктом выдвигаются требования к инструментам КАПО. Инструменты должны уметь формировать, экспортировать и импортировать ППК в открытом машиночитаемом формате (например, JSON), агрегировать и актуализировать информацию из публичных БДУ (БДУ ФСТЭК, NVD, OSV) в собственной базе знаний, анализировать манифесты управления компонентами (например, при сборке через Maven или Gradle для Java), а также формировать отчёт о наличии известных уязвимостей программных компонентов (публичный ID уязвимости, описание и оценка опасности).

Проект позиционируется как составная часть комплекса стандартов по разработке безопасного программного обеспечения и применяется совместно с ГОСТ Р 56939-2024. Совокупность требований этого комплекса образует основу превентивных мер противодействия угрозам безопасности информации, связанных с разработкой ПО.

После официального утверждения и введения в действие стандарт позволит повысить осведомленность и подготовленность организаций в вопросах безопасности программного обеспечения за счёт оперативного выявления известных уязвимостей в стороннем ПО, упростить внедрение процесса КАПО и стандартизировать информационный обмен между участниками цепочек поставок программных компонентов.