# EP01 — Источники и границы выводов

Проверка: **6 сентября 2026 года**, включая доработку по полному транскрипту вебинара 02.07.2025 и архивному финальному ГОСТ Р 56939-2016. Ранее полностью прочитаны два точных PDF из подпапки «РАЗДАВАТЬ»: обзор методологий — 27 страниц, доклад Вареницы — 26. Для копии G16 извлечён текст всех 24 PDF-страниц и проверены относящиеся к истории разделы; предисловие, оглавление и общие положения просмотрены визуально. Детальный разбор, карта 28 публикаций и исправленные расхождения — в [EP01-history-research.md](EP01-history-research.md). Основа текущих требований — локальный текст окончательной редакции G24, не проект «20ХХ» и не устный пересказ. Краткие ID используются в сценарии и презентации; текущий выпуск — 29 слайдов, план 53:00.

## Реестр внешних источников

| ID | Источник / версия | Использованный тезис и граница |
|---|---|---|
| G24 | [Росстандарт: ГОСТ Р 56939-2024](https://protect.gost.ru/gost/details/f3818925-a96f-4f55-96e9-46b44720ee64) | Утверждён 24.10.2024 приказом 1504-ст, введён 20.12.2024, заменяет 2016. Содержание требований прочитано в локальном полном тексте |
| G16 | [Росстандарт: ГОСТ Р 56939-2016](https://protect.gost.ru/gost/details/286a588e-4a6a-4899-88f7-3c370dea1e1d); локальный PDF «ГОСТ Р 56939-2016 (редакция 2016).pdf» | Росстандарт, приказ 458-ст от 01.06.2016; введён 01.06.2017. Предисловие: ЗАО НПО «Эшелон», ТК 362. 9 тематических подразделов 5.1–5.9; п. 4.2: «следует» — рекомендация; п. 4.5: компенсирующие меры; раздел 1 и приложение А: связи с 27034 и 15408 |
| WARE | [RAND: Security Controls for Computer Systems](https://www.rand.org/pubs/reports/R609-1.html) | Доклад первоначально опубликован в феврале 1970; 1979 на странице — переиздание. Не стандарт SSDLC |
| SS75 | [Saltzer–Schroeder: оригинальная статья](https://web.mit.edu/saltzer/www/publications/protection/index.html), [библиография автора](https://web.mit.edu/saltzer/www/publications/pubs.html) | September 1975, Proceedings of the IEEE 63(9), 1278–1308. Два принципа — выборка, не вся статья |
| MSH | [Microsoft: история SDL](https://www.microsoft.com/en-us/securityengineering/sdl/about) | Trustworthy Computing — январь 2002; SDL как часть разработки Microsoft — 2004. Не утверждается первенство Microsoft во всей области |
| RH | [Омский ЦСМ: исторические вехи Росстандарта](https://csm.omsk.ru/about/90-years/rosstandart-istor-vehi/16107/) | Комитет по стандартизации — 15.09.1925. Институциональная история, не дата возникновения практик безопасной разработки |
| N11 | [NIST SP 800-218, SSDF 1.1 final](https://csrc.nist.gov/pubs/sp/800/218/final), [Table 1 полного текста](https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-218.pdf) | Финальная редакция 03.02.2022; узкое сопоставление с PO.2.1 |
| N19 | [NIST: анонс проекта SSDF](https://csrc.nist.gov/News/2019/draft-white-paper-on-ssdf) | Дата анонса 11.06.2019; draft. Служебное Created 07.06.2019 не подменяет дату новости. Источник для хронологии, не доказательство заимствования в любом направлении |
| N20 | [NIST: публикация SSDF 1.0](https://csrc.nist.gov/news/2020/mitigating-risk-of-software-vulns-ssdf), [white paper](https://nvlpubs.nist.gov/nistpubs/CSWP/NIST.CSWP.04232020.pdf) | Финальный white paper от 23.04.2020; не путать с draft 2019 или SP 800-218 / 1.1 от 2022 |
| N12 | [SSDF 1.2 initial public draft](https://csrc.nist.gov/pubs/sp/800/218/r1/ipd), [реестр SSDF](https://csrc.nist.gov/Projects/ssdf/publications) | Проект 17.12.2025 остаётся обозначен draft на дату проверки. В выпуске не подменяет final 1.1 |
| SAMM | [OWASP SAMM, Strategy and Metrics, stream A](https://owaspsamm.org/model/governance/strategy-and-metrics/stream-a/) | База модели SAMM 2.0, живая веб-документация; для сравнения конкретно G-SM-A-2 |
| MLR | Локальный PDF; [Kudriavtseva & Gadyatskaya, arXiv:2211.16987v2](https://arxiv.org/html/2211.16987v2), [метаданные](https://arxiv.org/abs/2211.16987) | Препринт v2 от 04.07.2023, In submission; 27 страниц прочитаны. Table II, Figure 2, практики и ограничения эффективности; не доказательство уникальности ГОСТ |
| SAMM20 | [OWASP SAMM v2 public release](https://owaspsamm.org/blog/samm2-release/) | Подтверждение выпуска версии 2 от 31.01.2020 для шкалы публикаций |
| GOSTH | Локальный PDF: Вареница Виталий, «История создания и актуальное состояние РБПО в России. ГОСТ Р 56939-2016/24» | 26 страниц, экспорт PDF 02.07.2025; с. 2–4 — предпосылки и разработка, с. 3/22 — международные связи. Дата утверждения и фрагменты проекта уточнены по официальной карточке и финальному тексту |
| TRANS | [Полный транскрипт вебинара 02.07.2025](Транскрипция%202025.07.02%20Вебинар%201%20по%20РБПО%20с%20PVS-STUDIO.mp4.txt) | Метки 00:00:05–02:07:28; исходный текст пользователя, не официальный протокол. Времена исторических тезисов и исправления ASR — в историческом разборе. Все реплики размечены «Участник 1», поэтому автоматическая атрибуция голосов не подтверждена. Само видео не просматривалось |
| EX | Авторский учебный пример | Продукт, наблюдения, часы, график, роли и триггеры пересмотра придуманы для объяснения; внешней эмпирической оценки нет |

## Исследование из прежних материалов

Arina Kudriavtseva и Olga Gadyatskaya, *Secure Software Development Methodologies: A Multivocal Literature Review*. Авторы рассматривают 28 методологий из отрасли, государственных и академических источников, опубликованных в 2004–2022 годах; анализируют технические и организационные практики и опубликованные сведения об эффективности.

В разделе III перед Figure 2 прямо отмечено: дата публикации может отличаться от даты появления подхода. Пример — SDL внедрялся в Microsoft с 2004 года, хотя рассмотренная книга опубликована в 2006. Более того, Figure 2 и Table II на PDF-с. 5 расходятся по нескольким позициям. Поэтому слайд 5 содержит самостоятельно составленную шкалу выбранных публикаций/редакций с явным типом даты; исходный рисунок не перенесён целиком.

Обзор ограничен критериями отбора, доступностью и английским языком источников; это не перепись всей мировой практики. Используем его для карты методологий (слайд 5), различий способов организации работ (6) и ограничений выводов об эффективности (14). Утверждений о доказанном количественном снижении уязвимостей по этому обзору в сценарии нет. Источники WARE, SS75 и RH остаются дополнительным контекстом вне основной речи обновлённого исторического блока.

## Точный нормативный конспект процесса 5.1

| Пункт | Смысл для автора | Где раскрыт |
|---|---|---|
| 5.1.2.1 / 5.1.3.1 | Периодический анализ состояния; реализованные и нереализованные процессы; оценка достаточности и соответствия с учётом применимых стандартов, инструментов и технологий | Слайды 16, 18, 22; пример §2 |
| 5.1.2.2 / 5.1.3.2 | Периодический анализ потребностей в ресурсах; оценочные материальные/людские показатели в описании артефакта допустимы («могут содержать») | Слайды 16, 19; пример §3 |
| 5.1.2.3 / 5.1.3.3 | План развития с учётом двух анализов; очередность, приоритеты, ресурсы, организационные изменения, инструменты и обучение | Слайды 16, 20–22; пример §4 |
| 5.1.2.4 / 5.1.3.4 | План реализации с учётом анализов; цели, сроки, этапы, ресурсы, ответственные сотрудники | Слайды 16, 18, 20–22; пример §5 |
| 5.1.2.5 / 5.1.3.5 | Определение области; состав ПО и обоснование выбора состава | Слайды 16–17, 22; пример §1 |

Оба плана допустимо представить в системе управления задачами. Пять видов информации не означают обязательные пять отдельных файлов. План на 90 дней — учебный вариант; полная оценка всех процессов не выполнена.

Дополнительные пункты: 4.3 — независимость от модели жизненного цикла; 4.5 — участие руководства и ресурсы; 4.7 — и «должен», и «следует» выражают требование; 4.11 — разные формы сохранённых свидетельств; 4.12 — формат регламентов не предписан; 4.13 — контроль версий, непрерывная интеграция и управление задачами, включая отслеживание ошибок. Подмена CI на обязательный CD недопустима. Пункты 4.14–4.15 не используются для вывода, что стандарт автоматически обязателен для каждой команды.

## Два ограниченных сопоставления для слайда 23

| Поле | Ответственность | Развитие процессов |
|---|---|---|
| ГОСТ | 5.1.3.4, ответственные сотрудники в плане реализации; требуемое содержание артефакта | 5.1.2.3 и 5.1.3.3; требование планировать развитие на основе анализов |
| Международный фрагмент | SSDF 1.1, PO.2.1: жизненный цикл ролей и ответственности; задача рекомендательного framework | SAMM, G-SM-A-2: стратегия, бюджет и этапы дорожной карты; деятельность модели зрелости |
| Общая часть | Ясная ответственность за работу | Организация последовательного улучшения с ресурсами и этапами |
| Различия | В ГОСТ артефакт содержит также цели, сроки, этапы и ресурсы; PO.2.1 шире конкретного плана по роли в lifecycle | SAMM задаёт контекст зрелости программы; ГОСТ — определённые требования и содержание артефактов |
| Учебное применение | Владелец задачи, ответственный за решение, ссылка на политику полномочий | Обоснованная очередь изменений и связанные задачи |
| Вывод | **Partial overlap**, узкая пара, уверенность средняя | **Partial overlap**, узкая пара, уверенность средняя |

Проверка содержания выполнена при подготовке, внешнего рецензента не было. Нормативная сила сторон различается. Эти две пары не являются полной матрицей 5.1 и не подтверждают юридическую/сертификационную эквивалентность. Направления дальнейшего анализа: SSDF PO.1/PO.3/PO.4 и остальные активности SAMM; статус полного сопоставления — **Not assessed**.

## Российское семейство: справка вне основного хронометража

ГОСТ Р 56939 не исчерпывает российские документы по теме. Примеры: ГОСТ Р 58412-2019 — угрозы безопасности информации при разработке; ГОСТ Р 71206-2024 — безопасный компилятор C/C++, общие требования; ГОСТ Р 71207-2024 — статический анализ ПО, общие требования. Проверены [каталог 58412](https://protect.gost.ru/gost?month=0&page=2175&search=&year=0), [каталог 71206](https://protect.gost.ru/gost?month=0&page=2328&search=&year=0), [карточка 71207](https://protect.gost.ru/gost/details/9dd6f064-6014-4416-a3ca-ef72ce0a6c3a). Это три примера, а не полный реестр. Детали этих документов не приписываются требованиям процесса 5.1.

## Использование архива PVS-Studio

База: `V:\Yandex.Disk\_МАСКОМ\2025 Вебинары по РБПО с PVS-STUDIO\2025.07.02 Вебинар1 по РБПО с PVS-STUDIO`. Пользователь прямо разрешил свободное использование этих материалов в текущей задаче; дополнительного разрешения не требуется.

| Файл относительно базы | Проверенный объём | Что использовано |
|---|---|---|
| `2025.07.02 Вебинар1 по РБПО с PVS-STUDIO (РАЗДАВАТЬ)\2025.07.02 Вебинар 1 по РБПО с PVS-STUDIO.pdf` | 54 страницы; текст, выборочная визуальная проверка | С. 6–8 — прежняя идея серии; 13–19 — авторское объяснение эволюции; 26–29 — цель/требования/свидетельства; 37–45 — процесс 5.1 |
| `1.pdf` | 49 страниц, текст | Ранняя близкая версия, сопоставление содержания |
| `2025-04-24 - Пиков - УЦ Маском - v.003 (с 117 приказом).pdf` | 58 страниц; историческая схема с. 5 просмотрена визуально | Обзорное исследование MLR и логика исторического вступления |
| `1. Техническое задание_аудит DevSecOps (без бренда).pdf` | 6 страниц | Структура обследования, границы, интервью, целевое состояние и планирование |
| `2025.07.02 Вебинар1 по РБПО с PVS-STUDIO (РАЗДАВАТЬ)\Secure Software Development Methodologies. A Multivocal Literature Review - 2023.pdf` | Полностью, 27 страниц; с. 5–9 просмотрены визуально | Карта публикаций, сопоставление практик и ограничений оценки эффективности |
| `2025.07.02 Вебинар1 по РБПО с PVS-STUDIO (РАЗДАВАТЬ)\История+создания+РБПО+ГОСТ+Р+56939-202x.pdf` | Полностью, 26 страниц; с. 1–4, 22–23 просмотрены визуально | Предпосылки, история подготовки 2013–2015, обсуждение и международные связи |
| `2025.07.02 Вебинар1 по РБПО с PVS-STUDIO (РАЗДАВАТЬ)\ГОСТ Р 56939-2016 (редакция 2016).pdf` | 24 страницы; извлечён полный текст; для истории проверены предисловие, оглавление, разделы 1, 2, 4, структура 5 и приложение А; с. 2, 3, 8 просмотрены визуально | Авторство и даты; 9 групп мер вместо неподтверждённых «14»; прежняя нормативная сила «следует»; связь с Common Criteria и 27034 |

При первоначальной подготовке чтение отдельных облачных исторических файлов зависало. После уточнения пользователя точные PDF-копии из подпапки «РАЗДАВАТЬ» успешно прочитаны; ограничение доступа к ним снято. Затем пользователь добавил полный транскрипт непосредственно в EP01; прежняя констатация его отсутствия больше не актуальна. Не заявляется чтение всех одноимённых PPTX или просмотр видео. Расхождения дат, проектных схем, устных оценок и финальных требований перечислены в [историческом разборе](EP01-history-research.md).

Из архива исключены неподтверждённые универсальные 10–15% удорожания (с. 38), прогноз стандарта к концу 2025 года (с. 28), абсолютное утверждение о невозможности мер без CI/CD (с. 15), прежние рекламные/скидочные блоки. История пересмотра со слайдов не выдаётся за официальный протокол мотивов разработчиков стандарта. Образец ТЗ не выдаётся за доказательство завершённого клиентского внедрения.

Полный текст требований: `V:\pikov.art\56939-lections\laws\ГОСТ_Р_56939_2024_Национальный_стандарт_Российской_Федерац.docx` и одноимённый PDF (40 страниц, сохранение КонсультантПлюс 10.06.2025; процесс 5.1 на PDF-с. 8–9). Это рабочая локальная копия, не заявленная оригинальной публикацией Росстандарта. Проект `20ХХ` не использован как нормативная база.