Резюме встречи "2025.07.02 Вебинар 1 по РБПО с PVS-STUDIO.mp4" 06 сентября 2026 Участники: Открытие вебинара и представление участников Вебинар открывается с приветствиями и представления участников. Организаторы — Учебный центр Моском и компания PJ Studio — анонсируют серию из 25 вебинаров по RBPO. Докладчики: Андрей Карпов (эксперт по статическому анализу кода), Виталий Пиков (преподаватель по информационной безопасности) и Виталий Вариница (руководитель сертификационной лаборатории IShelon). Упоминается роль IShelon в разработке первого ГОСТ 56939-2016. История создания ГОСТ 56939-2016 Виталий Вариница рассказывает об истории стандарта безопасной разработки ПО. Первый ГОСТ 56939-2016 был создан в 2016 году при участии IShelon и других организаций. Он основан на международных стандартах (например, NIST SDf) и лучших практиках. Первоначально планировалось создать серию из нескольких документов, но в итоге вышел только первый. Упоминается, что ГОСТ 56939-2016 уникален, так как не является прямым переводом зарубежного стандарта. Эволюция стандарта и его значимость Обсуждается эволюция стандарта: первая редакция 2016 года содержала базовые определения, а последующие редакции (до 2024 года) дополнялись. Упоминается, что международный аналог (NIST SDf) появился позже (2019). Виталий подчеркивает, что Россия стала лидером в разработке такого стандарта. Также отмечается влияние ГОСТ 56939 на другие российские стандарты (например, 15408). Изменения в отрасли и стандарте С 2016 года произошли значительные изменения: повысилась осознанность разработчиков и руководства о важности безопасной разработки. Появились новые технологии и стандарты (статический анализ, фаззинг-тестирование). Виталий отмечает, что ГОСТ 56939-2024 учитывает эти изменения, включая новые методы тестирования (например, нефункциональное тестирование). Также упоминается связь стандарта с обязательными требованиями для сертификации в STC-Rus. Ключевые отличия ГОСТ 56939-2024 от 2016 года Основные различия: переход от мер к процессам, детализация требований, учет современных методов (динамический анализ, CI/CD). В ГОСТ 2024 года 25 процессов вместо 14 в 2016-м. Добавлены новые аспекты: управление конфигурациями, обработка уязвимостей, взаимодействие с реестрами уязвимостей (CVE, STC-Rus DBU). Упоминается критика смешивания "процессов" и "мер" в новой редакции. Практическое применение стандарта Обсуждается, как ГОСТ влияет на реальные проекты: обязательное подтверждение процессов для сертификации в STC-Rus, требования Министерства обороны. Примеры: тестирование на проникновение (часто ошибочно называемое "нефункциональным"), управление уязвимостями. Виталий предупреждает, что игнорирование требований (например, тестирования) снижает безопасность продукта. Ответы на вопросы аудитории Уточняется статус ГОСТ 56939-2016 (устарел, заменен 2024-м). Объясняется, что сертификат по RBPO ускоряет сертификацию продукта в STC-Rus, но не гарантирует автоматическое соответствие. Отвечается на вопрос о причинах смены терминологии с "мер" на "процессы": желание подчеркнуть регулярность внедрения практик. Также обсуждается отсутствие единого учебника по RBPO и предложенные альтернативы (курсы, Telegram-каналы). Перспективы стандарта и заключение Планируется развитие стандарта: уточнение процессов, создание методички по оценке внедрения. Упоминается работа над ГОСТом по управлению конфигурациями и обновлением требований для военных заказов. Виталий благодарит аудиторию и предлагает связаться для дальнейших обсуждений. Андрей напоминает о следующих вебинарах и приглашает гостей (включая экспертов из Positive Technologies). Завершение обсуждения и благодарности Упоминается, что обсуждение дефектов прошло естественно, но сертификация не проводилась. Отмечается, что вебинар завершился раньше запланированного времени, побив рекорд посещаемости. Выражена благодарность участникам за присутствие в позднее время, отмечено, что более 50 человек остались до конца. Предлагается завершить встречу, но пообещано рассмотреть оставшиеся вопросы позже. Планирование дальнейших действий Подтверждается завершение текущего вебинара, но сообщается, что ответы на накопившиеся вопросы будут даны позже через отдельный канал связи. Упоминается возможность проведения нового мероприятия для дальнейшего общения. Благодарность Виталию за участие, предложение встретиться лично и обсудить детали. Информация о сертификатах и материалах Анонсирован экзамен и выдача сертификатов для участников, успешно прошедших проверку. Указана временная ссылка для доступа к материалам вебинара, включая темы планирования, ГОСТ 2016 года, проекта национального стандарта и ГОСТ 2024 года. Подчеркивается важность изучения предоставленных материалов. Предложение сравнительного анализа подходов Выдвигается идея провести сравнение подходов к обучению и безопасной разработке между текущими участниками и коллегами из компании Виталия Вериница. Отмечается, что это не будет формальным соревнованием, а обмен опытом. Подчёркивается дружеский характер взаимодействия между компаниями-партнерами. Акцент на партнёрстве и обучении Напоминается о значимом участии компании Андрея Карпа в образовательных программах, включая курсы по статическому анализу кода. Подчёркивается роль партнёров в развитии учебного процесса. Выражено удивление активностью аудитории в чате, поблагодарены участники за дискуссии. Завершается встреча пожеланиями увидеться снова. ----- Пересказ записи создан ИИ Контура. Искусственный интеллект может ошибаться или давать неточные результаты. Всегда проверяйте резюме и помните, что вы сами несете ответственность за оценку точности и полноты текста.