Требования к безопасной разработке ПО ЗОКИИ (п. 29.3 приказа ФСТЭК России № 239): что должно быть включено и как должна быть организована процедура поддержки ПО (п. 29.3.3)?

2025 год

Ответ: процедура поддержки программного обеспечения (далее – ПО) реализуется на стороне разработчика и (или) лица, осуществляющего сопровождение ПО после разработки. Для выполнения требований к поддержке безопасности ПО, внедренного на значимом объекте критической информационной инфраструктуры и обеспечивающего выполнение его основных функций, необходимо регламентировать процедуры отслеживания и исправления обнаруженных ошибок и уязвимостей в таком ПО. В частности, в документации разработчика ПО должны быть определены:

• сотрудники, ответственные за прием сообщений об ошибках и уязвимостях ПО от пользователей;
• порядок поиска уязвимостей ПО с помощью автоматических сканеров анализа защищенности и контроля зависимостей;
• способы связи для сообщения об ошибках и уязвимостях ПО (электронная почта, форма на сайте, горячая линяя);
• порядок идентификации и классификации недостатков;
• описание процедуры устранения недостатков и выпуска обновлений, в том числе должны быть определены процедуры экстренного устранения недостатков;

порядок информирования пользователей о новых обновлениях ПО, обнаруженных уязвимостях или об окончании поддержки ПО, например, средствами самого ПО, через почтовую рассылку или официальный сайт разработчика.