Новый ГОСТ 56939 опирается на процессы, а не меры

ТК 362 за­вер­шил ра­боту над об­нов­лен­ной вер­сией стан­дар­та ГОСТ 56939 "За­щита ин­фор­ма­ции. Раз­ра­бот­ка бе­зопас­но­го прог­рам­мно­го обес­пе­чения. Об­щие тре­бова­ния". Текст до­кумен­та раз­ра­бот­чи­ки внес­ли в Рос­стан­дарт. Окон­ча­тель­ное при­нятие стан­дар­та от­расль ожи­дает до кон­ца 2024 г.

Яков Шпунт

© ComNews

24.06.2024

ГОСТ 56939, как напомнила один из авторов новой версии документа, руководитель центра сертификации и соответствия стандартам "Лаборатории Касперского" Карина Нападовская, выступая на IX конференции OS: Day 2024, разработан в 2016 г. и основательно устарел. В новой версии, по ее словам, разработчики сделали акцент на процессы, а не на меры.

Заведующий лабораторией ИСП РАН, член ТК 362 к.ф.-м.н. Вартан Падарян сравнил новшества, которые включили в новую версию стандарта, с тем, что санитарная инспекция начинает не просто следить, чтобы повара и рабочие кухни мыли руки, а чтобы они были по-настоящему чистыми. По его мнению, в совершенствовании стандарта были заинтересованы как ФСТЭК, так и разработчики, прежде всего тех систем, которые требуют сертификации: операционных систем и прочего системного ПО, средств защиты информации, системы, обслуживающие объекты критической информационной инфраструктуры (КИИ). Кроме того, Вартан Падарян обратил внимание, что стандарт позволяет регулятору не просто изучить пакет документов, но и увидеть, как работают процессы безопасной разработки в компании.