Почти треть российских компаний не проверяют свои IT-продукты на безопасность

Почти треть российских компаний не проверяют свои IT-продукты на безопасность. Что делать?

Для безопасной разработки программных продуктов нужна система проверки кода на всех этапах его создания. Должна быть построена производственная линия, где код пишут + проверяют на ошибки + тестируют на уязвимости + возвращают на доработку — и так по кругу, пока программа не станет готовой и безопасной.

При сертификации программного обеспечения приходится проверять не только свой код,👀 но и сторонние библиотеки и компоненты, которые ты используешь. И это серьезная головная боль: тысячи строк чужого кода, сотни зависимостей, а ответственность лежит... на тебе. Неудивительно, что многие откладывают проверки до момента, когда уже поздно что-то исправить. А многие компании просто закроются.

Государство решило вложиться в два крупных направления:

1. Автоматизированный конвейер для полной проверки российских программ и сервисов перед запуском. Он строится на основе проекта «Создание унифицированной среды разработки безопасного отечественного ПО».

2. Конвейер безопасной разработки приложений с ИИ (MLSecOps). Его задача — сделать так, чтобы алгоритмы машинного обучения были понятными, прозрачными и безопасными. Это делается в рамках работы Центра доверенного искусственного интеллекта.

Эти два проекта запускают совместно «Ростелеком» и ИСП РАН и то, что они делают относится к концепции ASOC (Application Security Orchestration and Correlation). Кстати, университеты смогут использовать эти решения бесплатно — для обучения студентов.

При этом ИСП РАН уже разрабатывает методы проверки кода и предоставляет свои инструменты (Svace, Crusher, Sydr, Natch), а «Ростелеком» обеспечивает цифровую инфраструктуру — от систем управления проектами («Яга») до платформ для тестирования (Basis Dynamix Enterprise, Basis Digital Energy).

Всё это реализуется при поддержке ФСТЭК России и станет частью масштабного плана по созданию доверенных и безопасных российских технологий. Круто?

#ASOC