Оглавление пособие можно закачать в файле.

Получить пособие можно по ссылке:

Тематика безопасной разработки ПО является сегодня одной из наиболее актуальных в сфере обеспечения информационной безопасности. Проектирование компьютерных программ

с учетом требований безопасности – это процесс устранения ошибок на протяжении всего

жизненного цикла разработки ПО, начиная с ранней его стадии. Подобный подход позволяет значительно снизить риски, связанные с последующей эксплуатацией готового продукта, поэтомуметоды безопасной разработки программсейчас внедряются практически во всех известных продуктовых компаниях. В пособии изложены концептуальные положения и определения, связанные с созданием безопасного программного обеспечения, выделены некоторые из лучших практик в данной области, которым следуют известные мировые компании. Кроме того, в документе представлены передовые российские решения в сфере безопасной разработки ПО, описываются организационные ресурсы и процессы планирования, необходимые для внедрения этих передовых практик и перечисляются некоторые ключевые ресурсы, рекомендованные компаниями-лидерами индустрии кибербезопасности и рядом международных объединений. Помимо этого в материале дан обзор полезных программ для практики безопасной разработки, в Приложениях приведена нормативная документация по рассматриваемой тематике.

В первую очередь, пособие представляет интерес для компаний-разработчиков программного и аппаратного обеспечения, облачных и системных решений, но будет полезно и для других учреждений и организаций, регулирующих органов, а также для студентов и преподавателей вузов, в которых готовят программистов и специалистов по информационной безопасности.

Настоящий документ является обобщением результатов обсуждений, публичных мероприятий и ряда Best Practices(лучших практик), представленных ведущими мировыми компаниями в области информационных технологий (ИТ) и кибербезопасности по ответственному и безопасному поведению в киберпространстве. Компаниями, которые внесли свой вклад в проведение дискуссий, являются: BI.ZONE (Группа Сбер-РФ), Cisco, Ensign Infosecurity, FireEye, Huawei, Kaspersky, Microsoft, NCR, SICPA, Siemens, Swiss Re, Tata Consultancy Services, Tech Mahindra, UBS, Wisekey и Vu Security. Кроме того, в пособии учтено мнение ряда наблюдателей и связанных с ними организаций, таких как Cybersecurity Tech Accord, Всемирный экономический форум, Центр исследований в области безопасности (CSS) при Швейцарской высшей технической школе Цюриха, Высший институтмеждународных отношений и развития (IHEID), Швейцарский фонд цифровых инноваций (SDI), а также Фонд ICT4Peace.

Основная цель этих дискуссий, проводившихся в период 2020–2023 годов под эгидой Diplo Foundation и Федерального департамента иностранных делШвейцарии (FDFA), состояла в выработке парадигмы безопасного проектирования продуктов и систем ИТ и управления рисками и уязвимостями, а также связанных с этим практик внедрения. На основе этих материалов в настоящем документе изложены основные концептуальные положения и определения, связанные с безопасным проектированием, выделены некоторые из лучших практик, которым следуют известные компании. В документе также описываются организационные ресурсы и процессы планирования, необходимые для внедрения этих передовых практик и перечисляются некоторые ключевые ресурсы, рекомендованные компаниями-лидерами в области кибербезопасности.

Этот документ предназначен, в первую очередь, для для ИТ-компаний – разработчиков программного и аппаратного обеспечения, облачных и системных решений, но также будет полезен и для других учреждений и организаций. Описанный передовой опыт и обозначенные здесь проблемы также могут представлять интерес как для регулирующих органов, так и для пользователей, помогая последним лучше понять среду, в которой разрабатываются и защищаются цифровые продукты. В ходе работы над определениями и лучшими практиками неоднократно поднимался вопрос о необходимости общих базовых требований. Компании в области ИБ пришли к единому мнению, что существующие технические стандарты являются объемными и громоздкими, а потому слишком сложными ресурсами, а их применение излишне фрагментировано на региональном уровне, чтобы оказать реальное влияние на кибербезопасность. Таким образом, дискуссия может быть продолжена в направлении разработки концепции установления общих базовых требований к безопасному проектированию.

В документе сделан обзор полезных программ для практики безопасной разработки, в Приложениях приведена нормативная документация в этой области.Также в документе представлены передовые российские решения в области безопасной

разработки ПО: платформа «Гостех», решения от Сбер и Bi.Zone, целый ряд полезных продуктов по DevSecOps от ИСП РАН и система Start X.