Из ГОСТ Р 56939–2016 Защита информации. Разработка безопасного программного обеспечения. Общие требования

4.3 Разработчик ПО должен определить и документировать цели организации в области создания безопасного ПО и меры по разработке безопасного ПО, реализация которых направлена на достижение поставленных целей [из 4.3 ГОСТ Р 56939–2016]

4.4 Для соответствия требованиям настоящего стандарта разработчик ПО должен обеспечить реализацию и проводить внутренние проверки мер по разработке безопасного ПО, приведенных в разделе 5 (базовый набор мер по разработке безопасного ПО), в процессах жизненного цикла ПО, установленных ГОСТ Р ИСО/МЭК 12207, а также работать над улучшением процессов, связанных с разработкой безопасного ПО [из 4.4 ГОСТ Р 56939–2016]

4.5 При невозможности реализации в среде разработки ПО отдельных мер из базового набора мер по разработке безопасного ПО разработчик ПО может разрабатывать и реализовывать иные (компенсирующие) меры по разработке безопасного ПО, обеспечивающие достижение целей и получение результатов, соответствующих базовому набору мер по разработке безопасного ПО [из 4.5 ГОСТ Р 56939–2016]

4.6 Если разработчик ПО планирует проведение оценки ПО в соответствии с ГОСТ Р ИСО/МЭК 15408–1, ГОСТ Р ИСО/МЭК 15408–2, ГОСТ Р ИСО/МЭК 15408–3, то подготовку ПО к оценке можно осуществлять в рамках действующих процессов, в которых реализованы меры по разработке безопасного ПО, путем выполнения дополнительных мер. В таблице А.1 приложения А отображена взаимосвязь мер по разработке безопасного ПО, установленных настоящим стандартом, и требований доверия к безопасности по ГОСТ Р ИСО/М ЭК 15408–3, которую можно использовать при подготовке ПО к оценке по ГОСТ Р ИСО/МЭК 15408–1, ГОСТ Р ИСО/МЭК 15408–2, ГОСТ Р ИСО/МЭК 15408–3 [из 4.6 ГОСТ Р 56939–2016]

4.7 Разработчик ПО должен предусмотреть выделение ресурсов, необходимых для реализации мер по разработке безопасного ПО, и обеспечить реализацию этих мер [из 4.7 ГОСТ Р 56939–2016]

4.8 Разработчик ПО должен проводить внутренние проверки выполнения мер по разработке безопасного ПО, позволяющие установить, что реализуемые меры соответствуют требованиям настоящего стандарта [из 4.8 ГОСТ Р 56939–2016]

4.9 Разработчик ПО должен проводить улучшения процессов, связанных с разработкой безопасного ПО, на основе:

• несоответствий, выявленных в ходе внутренних проверок;
• изменения целей разработчика ПО в области разработки безопасного ПО.

[из 4.9 ГОСТ Р 56939–2016]

При выполнении анализа требований к ПО разработчик ПО должен определить требования по безопасности, предъявляемые к разрабатываемому ПО [из 5.1.1 Мера по разработке безопасного программного обеспечения, подлежащая реализации ГОСТ Р 56939–2016]