Информ::Доверенная Разработка
前往频道在 Telegram
Информационный канал сообщества ФСТЭК России и ИСП РАН в области разработки безопасного и качественного ПО. Описание семейства чатов и правила доступны тут: https://t.me/sdl_community/7859
显示更多1 490
订阅者
+124 小时
-17 天
-130 天
吸引订阅者
十月 '2610月 '26
十月 '26
+908
在0个频道中
九月 '260
在1个频道中
Get PRO
八月 '260
在0个频道中
Get PRO
七月 '260
在1个频道中
Get PRO
六月 '260
在2个频道中
Get PRO
五月 '260
在0个频道中
Get PRO
四月 '260
在0个频道中
Get PRO
三月 '260
在1个频道中
Get PRO
二月 '260
在0个频道中
Get PRO
一月 '260
在0个频道中
Get PRO
十二月 '250
在2个频道中
Get PRO
十一月 '250
在1个频道中
Get PRO
十月 '250
在0个频道中
Get PRO
九月 '250
在2个频道中
Get PRO
八月 '250
在1个频道中
Get PRO
七月 '250
在2个频道中
Get PRO
六月 '250
在0个频道中
Get PRO
五月 '250
在1个频道中
Get PRO
四月 '250
在1个频道中
Get PRO
三月 '250
在0个频道中
Get PRO
二月 '250
在1个频道中
Get PRO
一月 '250
在0个频道中
Get PRO
十二月 '240
在0个频道中
Get PRO
十一月 '240
在0个频道中
Get PRO
十月 '240
在0个频道中
Get PRO
九月 '24
+64
在0个频道中
Get PRO
八月 '240
在0个频道中
Get PRO
七月 '240
在0个频道中
Get PRO
六月 '240
在0个频道中
Get PRO
五月 '240
在0个频道中
Get PRO
四月 '240
在0个频道中
Get PRO
三月 '240
在0个频道中
Get PRO
二月 '240
在0个频道中
Get PRO
一月 '240
在0个频道中
Get PRO
十二月 '230
在0个频道中
Get PRO
十一月 '230
在0个频道中
Get PRO
十月 '23
+11
在0个频道中
Get PRO
九月 '23
+8
在0个频道中
Get PRO
八月 '23
+9
在0个频道中
Get PRO
七月 '23
+14
在0个频道中
Get PRO
六月 '23
+9
在0个频道中
Get PRO
五月 '23
+15
在0个频道中
Get PRO
四月 '23
+7
在0个频道中
Get PRO
三月 '23
+8
在0个频道中
Get PRO
二月 '23
+18
在0个频道中
Get PRO
一月 '23
+35
在0个频道中
Get PRO
十二月 '22
+16
在0个频道中
Get PRO
十一月 '22
+21
在0个频道中
Get PRO
十月 '22
+97
在0个频道中
Get PRO
九月 '22
+34
在0个频道中
Get PRO
八月 '22
+15
在0个频道中
Get PRO
七月 '22
+5
在0个频道中
Get PRO
六月 '22
+20
在0个频道中
Get PRO
五月 '22
+10
在0个频道中
Get PRO
四月 '22
+19
在0个频道中
Get PRO
三月 '220
在0个频道中
Get PRO
二月 '22
+9
在0个频道中
Get PRO
一月 '22
+4
在0个频道中
Get PRO
十二月 '21
+7
在0个频道中
Get PRO
十一月 '21
+11
在0个频道中
Get PRO
十月 '21
+11
在0个频道中
Get PRO
九月 '21
+69
在0个频道中
Get PRO
八月 '210
在0个频道中
Get PRO
七月 '210
在0个频道中
Get PRO
六月 '210
在0个频道中
Get PRO
五月 '21
+147
在0个频道中
| 日期 | 订阅者增长 | 提及 | 频道 | |
| 16 十月 | 0 | |||
| 15 十月 | +1 | |||
| 14 十月 | 0 | |||
| 13 十月 | 0 | |||
| 12 十月 | 0 | |||
| 11 十月 | 0 | |||
| 10 十月 | 0 |
频道帖子
Опубликована первая версия карты инструментов РБПО, согласованной с ФСТЭК России.
| 2 | В Орг. вопросах опубликована ссылка на спецпроект в журнале Information Security, посвященный новой версии Методики ВУ и НДВ. | 1 074 |
| 3 | Коллеги, добрый день!
Это сообщение - официальный старт кампании по подготовке к главному ежегодному событию в области информационных технологий: Открытой конференции ИСП РАН 2026 - которая пройдёт 1-3 декабря 2026 года.
Традиционно, конференция это уникальный сплав науки, технологий, регуляторики и бизнеса, а среди многочисленных изменений:
- площадка МИСиС (в центре Москвы у метро Октябрьская)
- впервые конференция продлится 3 дня
- акцент на выставке технологий партнеров бизнес-событиях - площадь выставки увеличена вдвое, разнообразие спонсорских пакетов, интеграция зоны питания в зону выставки и ряд комплексных нововведений
- партнерские конференции и отраслевые встречи АРПП «Отечественный софт», Медиа Группа «Авангард» «Кадровое обеспечение доверенных информационных технологий», итоговое совещание консорциума исследований безопасности технологий ИИ, секция «Использование сертификатов безопасности в доверенном ПО, ПАК и ИС» и многое другое (следите за обновлением программы) и многое другое
- впервые - возможность проведения собственных мероприятий (при одобрении программным комитетом), семинаров, мастер классов и выступлений лидеров и популяризаторов научно-практических направлений
а также традиционная предновогодняя встреча РБПО-сообщества ФСТЭК России и ИСП РАН!
Участие для гостей и докладчиков бесплатное. Регистрация на конференцию будет открыта в течение недели на сайте конференции isprasopen.ru. В ближайшее время оператор Медиа Группа Авангард приступит к рассылке вам приглашений об участии и партнерстве (если по какой-то причине вы не получите приглашение до 1 октября, пожалуйста свяжитесь по указанным в презентации контактам, или со мной лично, для планирования бюджета). | 2 269 |
| 4 | Информационное сообщение о применении методики опубликовано на сайте ФСТЭК | 2 404 |
| 5 | Коллеги, доброго утра!
На сайте ФСТЭК России опубликовано информационное сообщение о новой версии Методики ВУ и НДВ, а также - и впервые - выписка из Методики (6-4 УД).
Методика вступила в действие с 12 мая 2026, все новые испытания необходимо планировать уже с ее учетом.
Также считаю, что не будет нарушением NDA поделиться полученным ответом на вопрос: "Как быть с уже идущими работами"? Если работа идет давно и заканчивается в окрестностях июня-июля, то можно завершить по ранее утвержденному плану. Чем дальше от текущей даты - тем больше вопросов будет вызывать предоставление материалов, подготовленных в соответствии с прошлой версией Методики.
Обратите внимание на Раздел 1 Методики. Явно зафиксирована рекомендация опираться на Методику при выстраивании процессов РБПО в соответствии с ГОСТ Р 56939-2024.
Обратите внимание на Раздел 5 Методики. Там появились принципиально новые и важные моменты, в т.ч. таблица недостатков - отход от бинарной логики тех. заключения, в котором традиционно пишут, что "всё идеально". | 5 586 |
| 6 | Приказ ФСТЭК о внесении изменений в Положение о системе сертификации
http://publication.pravo.gov.ru/document/0001202604210031?index=2 | 3 297 |
| 7 | Утверждены Меры и Мероприятия к 117 Приказу ФСТЭК России. | 3 723 |
| 8 | Методическая рекомендация № 2026-03-014 | Уровень критичности: 3
Область: Поддержка безопасности эксплуатируемых средств защиты информации (далее - СЗИ).
Тип недостатка: Отсутствие поддержки разработчиком безопасности эксплуатируемых СЗИ, в том числе устранения известных уязвимостей программных компонентов СЗИ.
Описание: В соответствии с требованиями информационного письма от 26 сентября 2024 г. № 240/24/4436 изготовители СЗИ, испытательные лаборатории и органы по сертификации при проведении сертификации СЗИ, включающих в свой состав заимствованные программные компоненты с открытым исходным кодом (далее - заимствованные компоненты), должны проводить сертификационные испытания СЗИ и осуществлять их поддержку безопасности в соответствии с планами испытаний заимствованных компонентов и планами поддержки безопасности заимствованных компонентов.
При выявлении уязвимостей заимствованных программных компонентов СЗИ в соответствии с пунктом 22 Требований по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий, утвержденных приказом ФСТЭК России от 2 июня 2020 г. № 76, разработчику СЗИ необходимо:
- в кратчайшие сроки разработать компенсирующие меры по защите информации или ограничения по применению СЗИ, а также доведение информации о недостатках и указанных мерах и ограничениях до потребителей;
- разработать обновления программного обеспечения СЗИ, или разработать меры по защите информации, нейтрализующих недостаток;
- довести информацию об обнаруженном недостатке до банка данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России.
В соответствии с пунктом 83 Положения о системе сертификации средств защиты информации, утвержденного приказом ФСТЭК России от 3 апреля 2018 г. № 55, действие сертификата соответствия приостанавливается в случае установления факта несоответствия сертифицированного СЗИ требованиям по безопасности информации на основании поступившей в ФСТЭК России информации, в том числе о наличии в сертифицированном средстве защиты информации уязвимостей или недекларированных возможностей.
ФСТЭК России осуществляет и совершенствует процедуру контроля за устранением угроз безопасности информации, возникающих в сертифицированных СЗИ вследствие наличия известных уязвимостей в заимствованных компонентах СЗИ.
За ноябрь-декабрь 2025 г. приостановлено действие сертификатов соответствия для 2-х сертифицированных СЗИ.
Рекомендации:
1. Разработчикам СЗИ обеспечить реализацию мероприятий по выявлению и устранению уязвимостей в заимствованных компонентах СЗИ на постоянной основе.
2. Работникам испытательных лабораторий и органов по сертификации проводить оценку уязвимостей в заимствованных компонентах СЗИ.
3. Разработчикам СЗИ в целях оперативного выявления и устранения уязвимостей в заимствованных компонентах СЗИ использовать автоматизированные средства, в том числе инструментальные средства композиционного анализа.
В соответствии с действующими национальными стандартами в области РБПО контроль наличия известных уязвимостей должен осуществляться в автоматическом (автоматизированном) режиме с использованием инструментальных средств композиционного анализа.
Дополнительные информационные материалы:
- Положение о системе сертификации средств защиты информации, утвержденное приказом ФСТЭК России от 3 апреля 2018 г. № 55;
- Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий, утвержденные приказом ФСТЭК России от 2 июня 2020 г. № 76;
- ГОСТ Р 56939-2024 "Безопасная разработка. Общие требования";
- проект ГОСТ "Безопасная разработка. Композиционный анализ ПО". | 4 046 |
| 9 | Методическая рекомендация № 2026-03-013 | Уровень критичности: 3
Область: Тестирование механизмов реализации функций безопасности (далее - ФБ).
Типы недостатков: Неполная инвентаризация реализуемых средством защиты информации (далее - СЗИ) ФБ, недостаточный объем тестирования реализующего ФБ программного кода.
Описание: С целью сокращения объемов сертификационных испытаний, а также при реализации процессов разработки безопасного программного обеспечения разработчики СЗИ и испытательные лаборатории в ряде случаев выполняют некачественную инвентаризацию, неполную декларацию и, как следствие, недостаточное тестирование механизмов (кода) СЗИ, отвечающих за реализацию ФБ.
Типичным примером, в частности, при сертификации СЗИ на соответствие техническим условиям (в части декларируемых ФБ), является описание в документации СЗИ только ФБ, связанных с группами мер ИАФ, УПД и РСБ (см. Приказ № 17), и только в минимальном их объеме - без декларации всех возможностей и режимов работы данных механизмов.
Частным примером является неполная инвентаризация механизмов ИАФ, поддерживаемых веб-серверами и серверами приложения, противоречащая в том числе информационному письму ФСТЭК России от 10 января 2025 г. № 240/24/39. Например, веб-сервер Apache реализует более 10 механизмов аутентификации, доступных в виде модулей, в зависимости от опций его сборки и конфигурации в СЗИ.
Отсутствие в документации на СЗИ описания назначения (функциональных возможностей) СЗИ и реализуемых ими ФБ приводит к отказу в выдаче ФСТЭК России решения о проведении сертификационных испытаний.
Рекомендации:
При инвентаризации функциональных возможностей (далее - ФВ) СЗИ и классификации их в качестве ФБ рекомендуется следовать следующему алгоритму:
1. Получить полный список декларируемых разработчиком ФВ СЗИ.
2. Дополнить список незадекларированными разработчиком СЗИ ФВ, выявленными в ходе ознакомления с СЗИ и последующих испытаний.
Все выявленные ФВ, являющиеся ФБ и не заявленные разработчиками в качестве ФБ, являются недекларированными возможностями (далее - НДВ). Выявление НДВ является основанием для прекращения процедуры сертификационных испытаний и выдаче отрицательного технического заключения.
3. Сравнить список ФВ со списками:
3.1. ФБ, вводимых Требованиями ФСТЭК России к различным типам СЗИ
3.2. ФБ, вводимых Профилями ФСТЭК России к различным типам СЗИ
3.3. классов ФБ, определяемых в ГОСТ Р 15408-2-2013
Совпадающие ФВ следует определить в качестве ФБ СЗИ.
4. Проанализировать список угроз безопасности информации, опубликованных в БДУ ФСТЭК России. ФВ СЗИ, реализующие защиту информационной системы или самого СЗИ от данных угроз, следует трактовать в качестве ФБ СЗИ.
Дополнительные информационные материалы:
- приказ ФСТЭК России от 11 февраля 2013 г. № 17
- информационное письмо от 10 января 2025 г. № 240/24/39
- БДУ ФСТЭК России. Раздел Угрозы безопасности информации
- ГОСТ Р 15408-2-2013 | 2 499 |
| 10 | В весенний семестр 2026 на ВМК МГУ впервые проводится спецкурс РБПО. Лабораторки рассчитаны только на студентов, но зато лекции транслируются для всех желающих. В объявлении есть ссылка на ВКС и понедельный план. | 3 394 |
| 11 | Коллеги, добрый день!
С огромной радостью пересылаю вам информацию от Вартана по спецкурсу РБПО, который сейчас читается в МГУ. Лекции будут транслироваться в Jitsi, прослушивание доступно всем желающим просто по приведенной ссылке.
@bootsmanGangreen подскажи пожалуйста, велась ли запись первых двух лекций, в частности по безопасной компиляции? | 2 345 |
| 12 | https://t.me/sdl_community/9752 | 2 681 |
| 13 | ❓Какие учёные в ближайшее время будут востребованы в сферах высоких технологий и кибербезопасности? Как правильно развивать наукоёмкую область информационных технологий? Для чего нужна междисциплинарность?
❗️Об этом и не только – в новом выпуске подкаста «Лаборатории Касперского» о практической кибербезопасности: https://www.youtube.com/watch?v=M0-uBQJDuAs.
✔️Тема: «Учёные в кибербезопасности»
Ведущий подкаста: Владимир Дащенко, эксперт Kaspersky ICS CERT
Участники беседы:
Арутюн Аветисян, директор ИСП РАН, академик РАН
Александр Козлов, эксперт кибербезопасности, преподаватель МГТУ и МИФИ
Владимир Карантаев, руководитель направления «Кибербезопасность» в НТИ МЭИ, MBA | 274 |
| 14 | На канале Лаборатории Касперского вышла серия, посвященная ученым в IT. С хорошо знакомыми участникам сообщества спикерами :) Досмотрел уже до 30й минуты, желания перемотать не возникло ни разу - к просмотру рекомендовано! | 277 |
| 15 | Уважаемые коллеги! Сообщение от коллег из Лаборатории Касперского.
"Долгожданные фотографии и записи выступлений с Certification Day 2023 доступны на сайте". | 525 |
| 16 | Уважаемые коллеги!
Приглашаем принять участие в ежегодной Открытой конференции ИСП РАН им. В.П. Иванникова!
Она состоится 4-5 декабря 2023 года в Главном здании РАН в Москве и будет посвящена 75-летию отечественных информационных технологий. Конференция традиционно проводится при поддержке IEEE и IEEE Computer Society. Избранные статьи будут опубликованы в электронной библиотеке IEEE Xplore Digital Library. Русскоязычные статьи или переводы могут быть опубликованы в журналах "Труды ИСП РАН" и "Программирование", которые входят в Перечень ВАК.
✔️Для участия в конференции необходимо зарегистрироваться.
‼️Статьи и тезисы подаются через интернет-систему EasyChair. Всё о правилах оформления материалов — здесь.
⏳Важные даты (сроки переноситься не будут!):
- Срок подачи статей: до 23:59 1 ноября 2023 г.
- Уведомление о включении в программу: до 14 ноября 2023 г.
- Регистрация участников: до 27 ноября 2023 г.
- Готовые к публикации статьи: до 14 декабря 2023 г.
В рамках конференции предусмотрены пять секций научных докладов:
- Технологии анализа, моделирования и трансформации программ
- Управление данными и информационные системы
- Решение задач механики сплошных сред с использованием СПО
- САПР микроэлектронной аппаратуры
- Лингвистические системы анализа
Кроме того, запланирован ряд других мероприятий, в том числе круглых столов по цифровой медицине и кибербезопасности. Подробности появятся чуть позже.
По всем вопросам просьба обращаться по e-mail: scsec@ispras.ru. | 223 |
| 17 | + | 319 |
| 18 | Коллеги, по встрече сообщества 12го августа в Санкт-Петербурге появилась финальная информация, доступна здесь. Будем рады видеть вас, будет интересно! | 279 |
| 19 | Коллеги, привет!
Подготовка номера заняла у участников и редакции два месяца практически ежедневной работы и, как нам кажется, материал получился действительно интересным и полезным. Перед публикацией мы показали его коллегам в Регуляторе и также получили поддержку наших материалов. В общем старались честно, результатом довольны :)
Мы будем рады, если вы перешлёте сообщение со ссылкой выше вашим друзьям и знакомым, и совершенно не будем возражать, если вы распространите это сообщение и ссылку на номер в ваших персональных информационных ресурсах, как это сделают непосредственные участники спецпроекта. | 395 |
| 20 | Уважаемые коллеги, добрый день! Сегодня опубликован свежий номер журнала "Информационная безопасность" №3, с которым вы можете ознакомиться по ссылке. Центральным событием выпуска стал спецпроект "Безопасная разработка" (РБПО) — большой круглый стол по вопросам практической информационной безопасности. В нем приняли участие представители 19 организаций, многие из которых хорошо знакомы сообществу и являются его активными участниками.
В последнее время тема РБПО стала интересна практически всем, кто связан с разработкой и ИБ. В редакцию регулярно поступают запросы от руководителей, оценивающих риски, затраты и выгоду перехода к парадигме "SDL First", с просьбой о более подробном освещении данных вопросов. В ходе подготовки круглого стола мы попросили участников ответить на 7 вопросов, как правило вызывающих наибольший резонанс у представителей как инженерного, так и бизнес-сообщества.
Искренне рассчитываем на то, что чтение материалов спецпроекта окажется для вас не только интересным но и принесет практическую пользу! Будем рады обратной связи. И до встречи на полях форума ITSEC 2023 и ТБ Форума 2024!
И еще раз ссылка на номер для тех, кто дочитал до конца https://cs.groteck.com/IB_3_2023/ | 196 |
