Информ::Доверенная Разработка
Відкрити в Telegram
Информационный канал сообщества ФСТЭК России и ИСП РАН в области разработки безопасного и качественного ПО. Описание семейства чатов и правила доступны тут: https://t.me/sdl_community/7859
Показати більше1 490
Підписники
+124 години
-17 днів
-130 днів
Завантажуємо дані
Схожі канали
Немає даних
Виникли проблеми? Будь ласка, оновіть сторінку або зверніться до нашого support-менеджера.
Хмара тегів
Немає даних
Виникли проблеми? Будь ласка, оновіть сторінку або зверніться до нашого support-менеджера.
Вхідні та вихідні згадування
---
---
---
---
---
---
Залучення підписників
жовтень '26жовт '26
жовтень '26
+908
в 0 каналах
вересень '260
в 1 каналах
Get PRO
серпень '260
в 0 каналах
Get PRO
липень '260
в 1 каналах
Get PRO
червень '260
в 2 каналах
Get PRO
травень '260
в 0 каналах
Get PRO
квітень '260
в 0 каналах
Get PRO
березень '260
в 1 каналах
Get PRO
лютий '260
в 0 каналах
Get PRO
січень '260
в 0 каналах
Get PRO
грудень '250
в 2 каналах
Get PRO
листопад '250
в 1 каналах
Get PRO
жовтень '250
в 0 каналах
Get PRO
вересень '250
в 2 каналах
Get PRO
серпень '250
в 1 каналах
Get PRO
липень '250
в 2 каналах
Get PRO
червень '250
в 0 каналах
Get PRO
травень '250
в 1 каналах
Get PRO
квітень '250
в 1 каналах
Get PRO
березень '250
в 0 каналах
Get PRO
лютий '250
в 1 каналах
Get PRO
січень '250
в 0 каналах
Get PRO
грудень '240
в 0 каналах
Get PRO
листопад '240
в 0 каналах
Get PRO
жовтень '240
в 0 каналах
Get PRO
вересень '24
+64
в 0 каналах
Get PRO
серпень '240
в 0 каналах
Get PRO
липень '240
в 0 каналах
Get PRO
червень '240
в 0 каналах
Get PRO
травень '240
в 0 каналах
Get PRO
квітень '240
в 0 каналах
Get PRO
березень '240
в 0 каналах
Get PRO
лютий '240
в 0 каналах
Get PRO
січень '240
в 0 каналах
Get PRO
грудень '230
в 0 каналах
Get PRO
листопад '230
в 0 каналах
Get PRO
жовтень '23
+11
в 0 каналах
Get PRO
вересень '23
+8
в 0 каналах
Get PRO
серпень '23
+9
в 0 каналах
Get PRO
липень '23
+14
в 0 каналах
Get PRO
червень '23
+9
в 0 каналах
Get PRO
травень '23
+15
в 0 каналах
Get PRO
квітень '23
+7
в 0 каналах
Get PRO
березень '23
+8
в 0 каналах
Get PRO
лютий '23
+18
в 0 каналах
Get PRO
січень '23
+35
в 0 каналах
Get PRO
грудень '22
+16
в 0 каналах
Get PRO
листопад '22
+21
в 0 каналах
Get PRO
жовтень '22
+97
в 0 каналах
Get PRO
вересень '22
+34
в 0 каналах
Get PRO
серпень '22
+15
в 0 каналах
Get PRO
липень '22
+5
в 0 каналах
Get PRO
червень '22
+20
в 0 каналах
Get PRO
травень '22
+10
в 0 каналах
Get PRO
квітень '22
+19
в 0 каналах
Get PRO
березень '220
в 0 каналах
Get PRO
лютий '22
+9
в 0 каналах
Get PRO
січень '22
+4
в 0 каналах
Get PRO
грудень '21
+7
в 0 каналах
Get PRO
листопад '21
+11
в 0 каналах
Get PRO
жовтень '21
+11
в 0 каналах
Get PRO
вересень '21
+69
в 0 каналах
Get PRO
серпень '210
в 0 каналах
Get PRO
липень '210
в 0 каналах
Get PRO
червень '210
в 0 каналах
Get PRO
травень '21
+147
в 0 каналах
| Дата | Залучення підписників | Згадування | Канали | |
| 16 жовтня | 0 | |||
| 15 жовтня | +1 | |||
| 14 жовтня | 0 | |||
| 13 жовтня | 0 | |||
| 12 жовтня | 0 | |||
| 11 жовтня | 0 | |||
| 10 жовтня | 0 |
Дописи каналу
Опубликована первая версия карты инструментов РБПО, согласованной с ФСТЭК России.
| 2 | В Орг. вопросах опубликована ссылка на спецпроект в журнале Information Security, посвященный новой версии Методики ВУ и НДВ. | 1 074 |
| 3 | Коллеги, добрый день!
Это сообщение - официальный старт кампании по подготовке к главному ежегодному событию в области информационных технологий: Открытой конференции ИСП РАН 2026 - которая пройдёт 1-3 декабря 2026 года.
Традиционно, конференция это уникальный сплав науки, технологий, регуляторики и бизнеса, а среди многочисленных изменений:
- площадка МИСиС (в центре Москвы у метро Октябрьская)
- впервые конференция продлится 3 дня
- акцент на выставке технологий партнеров бизнес-событиях - площадь выставки увеличена вдвое, разнообразие спонсорских пакетов, интеграция зоны питания в зону выставки и ряд комплексных нововведений
- партнерские конференции и отраслевые встречи АРПП «Отечественный софт», Медиа Группа «Авангард» «Кадровое обеспечение доверенных информационных технологий», итоговое совещание консорциума исследований безопасности технологий ИИ, секция «Использование сертификатов безопасности в доверенном ПО, ПАК и ИС» и многое другое (следите за обновлением программы) и многое другое
- впервые - возможность проведения собственных мероприятий (при одобрении программным комитетом), семинаров, мастер классов и выступлений лидеров и популяризаторов научно-практических направлений
а также традиционная предновогодняя встреча РБПО-сообщества ФСТЭК России и ИСП РАН!
Участие для гостей и докладчиков бесплатное. Регистрация на конференцию будет открыта в течение недели на сайте конференции isprasopen.ru. В ближайшее время оператор Медиа Группа Авангард приступит к рассылке вам приглашений об участии и партнерстве (если по какой-то причине вы не получите приглашение до 1 октября, пожалуйста свяжитесь по указанным в презентации контактам, или со мной лично, для планирования бюджета). | 2 269 |
| 4 | Информационное сообщение о применении методики опубликовано на сайте ФСТЭК | 2 404 |
| 5 | Коллеги, доброго утра!
На сайте ФСТЭК России опубликовано информационное сообщение о новой версии Методики ВУ и НДВ, а также - и впервые - выписка из Методики (6-4 УД).
Методика вступила в действие с 12 мая 2026, все новые испытания необходимо планировать уже с ее учетом.
Также считаю, что не будет нарушением NDA поделиться полученным ответом на вопрос: "Как быть с уже идущими работами"? Если работа идет давно и заканчивается в окрестностях июня-июля, то можно завершить по ранее утвержденному плану. Чем дальше от текущей даты - тем больше вопросов будет вызывать предоставление материалов, подготовленных в соответствии с прошлой версией Методики.
Обратите внимание на Раздел 1 Методики. Явно зафиксирована рекомендация опираться на Методику при выстраивании процессов РБПО в соответствии с ГОСТ Р 56939-2024.
Обратите внимание на Раздел 5 Методики. Там появились принципиально новые и важные моменты, в т.ч. таблица недостатков - отход от бинарной логики тех. заключения, в котором традиционно пишут, что "всё идеально". | 5 586 |
| 6 | Приказ ФСТЭК о внесении изменений в Положение о системе сертификации
http://publication.pravo.gov.ru/document/0001202604210031?index=2 | 3 297 |
| 7 | Утверждены Меры и Мероприятия к 117 Приказу ФСТЭК России. | 3 723 |
| 8 | Методическая рекомендация № 2026-03-014 | Уровень критичности: 3
Область: Поддержка безопасности эксплуатируемых средств защиты информации (далее - СЗИ).
Тип недостатка: Отсутствие поддержки разработчиком безопасности эксплуатируемых СЗИ, в том числе устранения известных уязвимостей программных компонентов СЗИ.
Описание: В соответствии с требованиями информационного письма от 26 сентября 2024 г. № 240/24/4436 изготовители СЗИ, испытательные лаборатории и органы по сертификации при проведении сертификации СЗИ, включающих в свой состав заимствованные программные компоненты с открытым исходным кодом (далее - заимствованные компоненты), должны проводить сертификационные испытания СЗИ и осуществлять их поддержку безопасности в соответствии с планами испытаний заимствованных компонентов и планами поддержки безопасности заимствованных компонентов.
При выявлении уязвимостей заимствованных программных компонентов СЗИ в соответствии с пунктом 22 Требований по безопасности информации, устанавливающих уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий, утвержденных приказом ФСТЭК России от 2 июня 2020 г. № 76, разработчику СЗИ необходимо:
- в кратчайшие сроки разработать компенсирующие меры по защите информации или ограничения по применению СЗИ, а также доведение информации о недостатках и указанных мерах и ограничениях до потребителей;
- разработать обновления программного обеспечения СЗИ, или разработать меры по защите информации, нейтрализующих недостаток;
- довести информацию об обнаруженном недостатке до банка данных угроз безопасности информации, ведение которого осуществляется ФСТЭК России.
В соответствии с пунктом 83 Положения о системе сертификации средств защиты информации, утвержденного приказом ФСТЭК России от 3 апреля 2018 г. № 55, действие сертификата соответствия приостанавливается в случае установления факта несоответствия сертифицированного СЗИ требованиям по безопасности информации на основании поступившей в ФСТЭК России информации, в том числе о наличии в сертифицированном средстве защиты информации уязвимостей или недекларированных возможностей.
ФСТЭК России осуществляет и совершенствует процедуру контроля за устранением угроз безопасности информации, возникающих в сертифицированных СЗИ вследствие наличия известных уязвимостей в заимствованных компонентах СЗИ.
За ноябрь-декабрь 2025 г. приостановлено действие сертификатов соответствия для 2-х сертифицированных СЗИ.
Рекомендации:
1. Разработчикам СЗИ обеспечить реализацию мероприятий по выявлению и устранению уязвимостей в заимствованных компонентах СЗИ на постоянной основе.
2. Работникам испытательных лабораторий и органов по сертификации проводить оценку уязвимостей в заимствованных компонентах СЗИ.
3. Разработчикам СЗИ в целях оперативного выявления и устранения уязвимостей в заимствованных компонентах СЗИ использовать автоматизированные средства, в том числе инструментальные средства композиционного анализа.
В соответствии с действующими национальными стандартами в области РБПО контроль наличия известных уязвимостей должен осуществляться в автоматическом (автоматизированном) режиме с использованием инструментальных средств композиционного анализа.
Дополнительные информационные материалы:
- Положение о системе сертификации средств защиты информации, утвержденное приказом ФСТЭК России от 3 апреля 2018 г. № 55;
- Требования по безопасности информации, устанавливающие уровни доверия к средствам технической защиты информации и средствам обеспечения безопасности информационных технологий, утвержденные приказом ФСТЭК России от 2 июня 2020 г. № 76;
- ГОСТ Р 56939-2024 "Безопасная разработка. Общие требования";
- проект ГОСТ "Безопасная разработка. Композиционный анализ ПО". | 4 046 |
| 9 | Методическая рекомендация № 2026-03-013 | Уровень критичности: 3
Область: Тестирование механизмов реализации функций безопасности (далее - ФБ).
Типы недостатков: Неполная инвентаризация реализуемых средством защиты информации (далее - СЗИ) ФБ, недостаточный объем тестирования реализующего ФБ программного кода.
Описание: С целью сокращения объемов сертификационных испытаний, а также при реализации процессов разработки безопасного программного обеспечения разработчики СЗИ и испытательные лаборатории в ряде случаев выполняют некачественную инвентаризацию, неполную декларацию и, как следствие, недостаточное тестирование механизмов (кода) СЗИ, отвечающих за реализацию ФБ.
Типичным примером, в частности, при сертификации СЗИ на соответствие техническим условиям (в части декларируемых ФБ), является описание в документации СЗИ только ФБ, связанных с группами мер ИАФ, УПД и РСБ (см. Приказ № 17), и только в минимальном их объеме - без декларации всех возможностей и режимов работы данных механизмов.
Частным примером является неполная инвентаризация механизмов ИАФ, поддерживаемых веб-серверами и серверами приложения, противоречащая в том числе информационному письму ФСТЭК России от 10 января 2025 г. № 240/24/39. Например, веб-сервер Apache реализует более 10 механизмов аутентификации, доступных в виде модулей, в зависимости от опций его сборки и конфигурации в СЗИ.
Отсутствие в документации на СЗИ описания назначения (функциональных возможностей) СЗИ и реализуемых ими ФБ приводит к отказу в выдаче ФСТЭК России решения о проведении сертификационных испытаний.
Рекомендации:
При инвентаризации функциональных возможностей (далее - ФВ) СЗИ и классификации их в качестве ФБ рекомендуется следовать следующему алгоритму:
1. Получить полный список декларируемых разработчиком ФВ СЗИ.
2. Дополнить список незадекларированными разработчиком СЗИ ФВ, выявленными в ходе ознакомления с СЗИ и последующих испытаний.
Все выявленные ФВ, являющиеся ФБ и не заявленные разработчиками в качестве ФБ, являются недекларированными возможностями (далее - НДВ). Выявление НДВ является основанием для прекращения процедуры сертификационных испытаний и выдаче отрицательного технического заключения.
3. Сравнить список ФВ со списками:
3.1. ФБ, вводимых Требованиями ФСТЭК России к различным типам СЗИ
3.2. ФБ, вводимых Профилями ФСТЭК России к различным типам СЗИ
3.3. классов ФБ, определяемых в ГОСТ Р 15408-2-2013
Совпадающие ФВ следует определить в качестве ФБ СЗИ.
4. Проанализировать список угроз безопасности информации, опубликованных в БДУ ФСТЭК России. ФВ СЗИ, реализующие защиту информационной системы или самого СЗИ от данных угроз, следует трактовать в качестве ФБ СЗИ.
Дополнительные информационные материалы:
- приказ ФСТЭК России от 11 февраля 2013 г. № 17
- информационное письмо от 10 января 2025 г. № 240/24/39
- БДУ ФСТЭК России. Раздел Угрозы безопасности информации
- ГОСТ Р 15408-2-2013 | 2 499 |
| 10 | В весенний семестр 2026 на ВМК МГУ впервые проводится спецкурс РБПО. Лабораторки рассчитаны только на студентов, но зато лекции транслируются для всех желающих. В объявлении есть ссылка на ВКС и понедельный план. | 3 394 |
| 11 | Коллеги, добрый день!
С огромной радостью пересылаю вам информацию от Вартана по спецкурсу РБПО, который сейчас читается в МГУ. Лекции будут транслироваться в Jitsi, прослушивание доступно всем желающим просто по приведенной ссылке.
@bootsmanGangreen подскажи пожалуйста, велась ли запись первых двух лекций, в частности по безопасной компиляции? | 2 345 |
| 12 | https://t.me/sdl_community/9752 | 2 681 |
| 13 | ❓Какие учёные в ближайшее время будут востребованы в сферах высоких технологий и кибербезопасности? Как правильно развивать наукоёмкую область информационных технологий? Для чего нужна междисциплинарность?
❗️Об этом и не только – в новом выпуске подкаста «Лаборатории Касперского» о практической кибербезопасности: https://www.youtube.com/watch?v=M0-uBQJDuAs.
✔️Тема: «Учёные в кибербезопасности»
Ведущий подкаста: Владимир Дащенко, эксперт Kaspersky ICS CERT
Участники беседы:
Арутюн Аветисян, директор ИСП РАН, академик РАН
Александр Козлов, эксперт кибербезопасности, преподаватель МГТУ и МИФИ
Владимир Карантаев, руководитель направления «Кибербезопасность» в НТИ МЭИ, MBA | 274 |
| 14 | На канале Лаборатории Касперского вышла серия, посвященная ученым в IT. С хорошо знакомыми участникам сообщества спикерами :) Досмотрел уже до 30й минуты, желания перемотать не возникло ни разу - к просмотру рекомендовано! | 277 |
| 15 | Уважаемые коллеги! Сообщение от коллег из Лаборатории Касперского.
"Долгожданные фотографии и записи выступлений с Certification Day 2023 доступны на сайте". | 525 |
| 16 | Уважаемые коллеги!
Приглашаем принять участие в ежегодной Открытой конференции ИСП РАН им. В.П. Иванникова!
Она состоится 4-5 декабря 2023 года в Главном здании РАН в Москве и будет посвящена 75-летию отечественных информационных технологий. Конференция традиционно проводится при поддержке IEEE и IEEE Computer Society. Избранные статьи будут опубликованы в электронной библиотеке IEEE Xplore Digital Library. Русскоязычные статьи или переводы могут быть опубликованы в журналах "Труды ИСП РАН" и "Программирование", которые входят в Перечень ВАК.
✔️Для участия в конференции необходимо зарегистрироваться.
‼️Статьи и тезисы подаются через интернет-систему EasyChair. Всё о правилах оформления материалов — здесь.
⏳Важные даты (сроки переноситься не будут!):
- Срок подачи статей: до 23:59 1 ноября 2023 г.
- Уведомление о включении в программу: до 14 ноября 2023 г.
- Регистрация участников: до 27 ноября 2023 г.
- Готовые к публикации статьи: до 14 декабря 2023 г.
В рамках конференции предусмотрены пять секций научных докладов:
- Технологии анализа, моделирования и трансформации программ
- Управление данными и информационные системы
- Решение задач механики сплошных сред с использованием СПО
- САПР микроэлектронной аппаратуры
- Лингвистические системы анализа
Кроме того, запланирован ряд других мероприятий, в том числе круглых столов по цифровой медицине и кибербезопасности. Подробности появятся чуть позже.
По всем вопросам просьба обращаться по e-mail: scsec@ispras.ru. | 223 |
| 17 | + | 319 |
| 18 | Коллеги, по встрече сообщества 12го августа в Санкт-Петербурге появилась финальная информация, доступна здесь. Будем рады видеть вас, будет интересно! | 279 |
| 19 | Коллеги, привет!
Подготовка номера заняла у участников и редакции два месяца практически ежедневной работы и, как нам кажется, материал получился действительно интересным и полезным. Перед публикацией мы показали его коллегам в Регуляторе и также получили поддержку наших материалов. В общем старались честно, результатом довольны :)
Мы будем рады, если вы перешлёте сообщение со ссылкой выше вашим друзьям и знакомым, и совершенно не будем возражать, если вы распространите это сообщение и ссылку на номер в ваших персональных информационных ресурсах, как это сделают непосредственные участники спецпроекта. | 395 |
| 20 | Уважаемые коллеги, добрый день! Сегодня опубликован свежий номер журнала "Информационная безопасность" №3, с которым вы можете ознакомиться по ссылке. Центральным событием выпуска стал спецпроект "Безопасная разработка" (РБПО) — большой круглый стол по вопросам практической информационной безопасности. В нем приняли участие представители 19 организаций, многие из которых хорошо знакомы сообществу и являются его активными участниками.
В последнее время тема РБПО стала интересна практически всем, кто связан с разработкой и ИБ. В редакцию регулярно поступают запросы от руководителей, оценивающих риски, затраты и выгоду перехода к парадигме "SDL First", с просьбой о более подробном освещении данных вопросов. В ходе подготовки круглого стола мы попросили участников ответить на 7 вопросов, как правило вызывающих наибольший резонанс у представителей как инженерного, так и бизнес-сообщества.
Искренне рассчитываем на то, что чтение материалов спецпроекта окажется для вас не только интересным но и принесет практическую пользу! Будем рады обратной связи. И до встречи на полях форума ITSEC 2023 и ТБ Форума 2024!
И еще раз ссылка на номер для тех, кто дочитал до конца https://cs.groteck.com/IB_3_2023/ | 196 |
