Транскрипция записи "2025.07.02 Вебинар 1 по РБПО с PVS-STUDIO.mp4" 06 сентября 2026 г
00:00:05	Участник 1	Так. Так. Ну что? Запускаем, начинаем. Давайте с богом. Угу, да?
00:00:52	Участник 1	Кто начнёт и давай я. Я готов. Всё начинаем, а всем привет. Приветствую вас на 1-м вебинаре из цикла вокруг мира рбпо, так сказать, за 25 выпусков. Ну, собственно, 25 вебинаров будет. Это мероприятие организовывает учебный центр Моском и компания пй студию. И плюс с нами будет гости и сегодня, и следующий как бы передачи. Сейчас я всех представлю. Сейчас мы плюс ждём, когда ещё чуть-чуть народ соберётся. Потому что я смотрю, количество участников увеличивается. 1 минутку пока общие слова. И, собственно, перейдём к дальнейшим слайдам. Итак, всех раз видеть. А Цикру будет длинный. Возможно, он будет.
00:01:46	Участник 1	Немножко по-разному, но каждый раз мы постараемся разобрать а процесс 1 из процессов и какую-то дополнительную информацию дать. Как на, например, сегодня мы пообсуждаем ещё не только, собственно, Гостст и 1-й процесс, а ещё и затронем вопросы истории появления нового Госта 56939 к 2024-го года, который, соответственно, пришёл на замену Хост с 16-го года. Это тоже такая сказать и интересная. Такой пласт информации, которая нам поможет сегодня. Виталий, Вериница, Вариница по порассказывать. Ну, собственно, давайте всё, да, идём. Итак, докладчики и хостие Вебинара, соответственно, Андрей Карпов. Возможно, вы меня знаете по.
00:02:35	Участник 1	Публикации статей на Хабре, там, где разные Енорожки, пишу про статический анализ кода, качество кода безопасное Безопа, безопасную разработку и так далее. И, соответственно, занимаюсь сейчас в целом популяризаци металлои статического анализа темати крбпо, обучением людей, ну, внутри компании или, вот, например, какими-то полезными докладами Воовне и, соответственно, се. Сегодня вот это вот участвую в этом замечательном мероприятии. Я, наверное, наверное, иногда буду появляться в каких то вебинарах каких, то кто-то ещё будет. Посмотрим со стороны учебного центра Моском. Соответственно, его представляет Виталий Пиков, эксперт в область все информационной безопасности, преподаватель с различными регалиями, тоже большим опытом работы.
00:03:30	Участник 1	В этой сфере, возможно, вы тоже уже видели, кто-то из из наших гостей, возможно, в каких то предыдущих вебинарах с ним общался. И, собственно, ещё гость сегодняшнего вебинара Виталий Вариница, рукоитель, воводитель сертификационной лаборатории из компании Ишеон. И, собственно, сейчас я ему чуть перепозже передам слово, потому что нам очень хочется, чтобы он порассказывал нам историю. То есть мы начнём с истории, потому что был хост 16-го года, и как раз компания Ишеон стояла у истоков этого хоста. То есть она была 1 из основных, как я понимаю, разработчиков этого стандартного. Но если это не так, сейчас Виталий меня.
00:04:11	Участник 1	Поправит. И, я думаю, ему будет, что рассказать и поведить, как мы вот пришли к новому Госту, как это всё происходило. Это такой интересный будет экскурс. И, соответственно, я приглашаю сейчас Виталия, так сказать, начать свою часть презентации, а потом мы уже продолжим дальше. То есть я об. Обратно переключимся после вопросов к Виталию в конце и продолжим уже, собственно, рассматривать новый ГОСТ и перейдём к его акту, так сказать, актуальности. И там 1-му процессу сегодня разберём всё. Передаю дальше слово. И, возможно, может быть, Виталий Пиков тоже что-то, может, сейчас хочется, если покомментировать, тоже вступительное какое-то слово.
00:04:48	Участник 1	И мы пре передаём презентацию. Дальше коллеги. Здравствуйтера, вас приветую. Спасибо, Андрей, за то, как представил нас и начал наше мероприятие. Уважаемые слушатели. Уже онлайн 60 человек. Надеюсь, количество будет увеличиваться. Пишите, пожалуйста, вопросы Виталию Вницы по во время доклада, чате мы я буду вопросы отслеживать и мы обязательно их обсудим. Потому что как мы тут переговорили до, да, он свой доклад подготовил, но у меня к нему есть вопросы. Потому что когда мы с ним были в своё время коллегами, так вот как-то работали, но эти вопросы весьма соыкровенные иногда где-то да, секретные. Так им не удалось.
00:05:30	Участник 1	Задать, надеюсь, сегодня мы прольём свет на вот эту тему. Как же появился ГОСТ 16-го года безопасной разработки? Как так Эшелонон в одиночку его придумал, сделал? Откуда вообще всё это появилось? Потому что публикации а, Алексей Серевич Маркова я находил от далёкого 10-го и 12-го года. И, вот, надеюсь, Виталий намо всём расскажет. Виталий, пожалуйста, да? Спасибо большое за такое привестное слово и мою презентацию Коллеги всех рад сегодня приве приветствовать. Значит, я подготовил, ну, по просьбе от коллег тут там презентацию определённую по истории создания стандартного безопасной разработки. Вот, надеюсь, что она будет как минимум интересна и, наверное, полезно.
00:06:20	Участник 1	Всем нашим сегодняшним участникомм данного мероприятия. Вот, естественно, я на связи. То есть любые вопросы сейчас, любые вопросы, которые кто-то не успеет задать сегодня, но захочет их задать, можно как бы через пиковый Виталия, например, мне передать, да, это будет быстрее всего. Вот, соответственно, сегодня такой вступительный маленький блок, который я решил назвать именно в формате истории создания. И не просто рассказать про историю создания, но и верхнеуровнево подвести текущую актуальность всех изменений текущей версии стандарта по безопасной разработке. То есть как сейчас это выглядит, как это изначально выглядело. Ну и, конечно, когда мы смотрим историю, смотрим текущее актуальное.
00:07:19	Участник 1	Состояние, наверное, нам было бы очень полезно всем здесь сегодня собравшимся понять, в чём же вот эти вот объёмы изменений? Ну, чаще всего ответить себе на вопросы или ответить в рамках своих задач на вопросы а что если мы там планировали внедрение по старой версии стандарта вышла новая, что нам делать? А что? Нужно ли нам всё переделать и так далее? Ну, вот, на эти базовые вопросы я в рамках презентации постараюсь ответить. Ну, всё, что мы не успеем затронуть за это выдеенное время, мы, конечно, уже в рамках сессии вопросов, я думаю, проговорим с вами. Значит, на самом деле.
00:08:01	Участник 1	Вот, Виталий правильно сказал, что 1-я. Вообще публичные публикации о том, что безопасная разработка это неотъемлемая часть. Это, если хотите, вообще фундамент, ну, ко, которые затрагивают все сферы информационной безопасности, будьто там безопасность в рамках, там, создания продуктов, эксплуатации продуктов, там, различных этапов жизненного цикла, существовния тех или иных продуктов, это вещь. Она, на самом деле, очень такая, важная, неотъемлемвая. Ну, как бы, мы понимаем сами, что без фундамента, естественно, если мы туда не инвестиировали определённые ресурсы, время, специалистов, деньги, то, как бы, и дом у нас будет потом стоять. Ну, как бы, не очень уверено, да? Вот, значит, поэтому.
00:08:56	Участник 1	Да, где-то с 2009-го года, на самом деле, мы активно начали обсуждать с, ну, различными нашими коллегами, с регуляторами ту историю, что, ну, безопасная разработка важна, нужна, и было бы, наверное, очень хорошо как-то это стандартизировать. Ну, хотя бы у нас в стране. Почему хотя бы у нас в стране, вот таки многим каким то ошибочным, может быть, фактором. У нас все считают как? Что? Если кто-то в России создает стандарт, то, ну, обычно в 90 процентов случаев это перевод, там не стоовой из серии стандартов или, там, других каких то зарубежных, там, западных стандартов.
00:09:41	Участник 1	И так далее. Вот, 56939 в этом плане получился у нас уникальным, потому что у нас он был принят в Миньюсте, как вы правильно знаете, уже в 16-м году, да? Но мы понимаем, что для этого была проделана значительная работа. Причём, в 16-м году у нас появилась только 1-я из задуманных книжек поста стандарта, потому что изначально задумывался не просто 56939, на заумалась серия стандартов в моменте, в историческом срезе её называли там, четверо книже, там пятиниже, трёхниже и так далее. То есть было обсуждалось, сколько будет у нас вообще отдельных документов.
00:10:19	Участник 1	В рамках эти реи стандартов, которые должны были затрагивать процессы безопасной разработки с разных точек зрения на всех этапах жизненного цикла. Вот. И то есть 1-я редакция. У нас базовые определения, да, были опубликованы в Меьюсти, согласованы в 16-м году. А, например, очень близкий похожий стандарт международный. Ну, если мы берём там тот же Нис, например, да? Он называется сдф это секьюрити, Девелло Девелт фреймволок. А он у нас 1-я редакция была опубликована на сайтеис, выложена только в 19-м году, в 2019-м году, да? Вот, причём, в своё время, когда мы этот стандарт, ну, там, опубликовали, начали по.
00:11:06	Участник 1	Нему проводить определённое внедрение работы, внедрять в 1-ю очередь у себя, у наших разработчиков, внутри наших организаций. Мы тогда ещё у нас не было политической сложной обстановки, то есть были, действительно, открытые многие информационные ресурсы, были международные конференции, в рамках которых. Ну, как бы, там я и мои коллеги участвовали в. Ну, например, в айси с это Международная ассоциация по сертификации по общим критериям ком критерий сертификейшн систем, там, и так далее. И там, конечно же, активно многие страны обсуждали тоже создание централизованного стандарта по безопасной разработке, то есть не вендерского, который был там Орк, Microsoft, Огема там у таких.
00:12:01	Участник 1	Крупнейших мировых, международных, можно сказать, компаний, которые занимались разработкой софта. Не только софтан, вот, а именно сделать какой-то вот такой фреймворк, стандарт, который будет, возможно применять и различным командам и компаниям, ну, другого масштаба, более мелким компаниям, стартапом, которые на которые можно будет ориентироваться, по которому можно будет проводить различные независимые оценки соответствия процесса безопасной разработки, ну и так далее, и так далее. Вот. Поэтому здесь, конечно, у нас в рамках 56939 получилась очень интересная история. Ну, то есть наша страна, как бы, была флагманом в этом направлении, да, конечно же, ну, при создании стандарта.
00:12:54	Участник 1	Использовались на тот момент времени все доступные стандарты смежные, которые касались и, там, лучших практик и касались, там 15408 общих критериев на тот момент времени. Это, там я напоминаю, 10-е, двенадцате года. Это, ну, как бы, серия стандартов максимально известная, максимально популярныерные почти во всех странах мира. К тому же, значит, на территории нашей страны было принято решение несколькими регуляторами, ну, например, стек, например, Министерство обороны. Ну, например, ЦБ о том, что данные из серии стандартов, как бы, они в силу своей гибкости, в силу своей модульности, в силу своей, ну, актуальности современности на тот момент времени они.
00:13:43	Участник 1	Ну, действительно, хороши. И чтобы не изобретать велосипед, ну, как бы, логично, чтобы мы тоже вошли вот в эту вот это содружество международное по кам критерия по оценке требований, по общем критериям. И большинство стандартов, которые у нас параллельно разрабатывают с различных веддомств, с различных федеральных там органах к курирующих. Ну, вопросы информационной безопасности в нашей стране они, конечно же, были, опирались, вот, на 15408 и на прочие другие. Конечно же, да? Понятно, что у нас там и 2027-я серия стандартов учитывалась, и, как бы, прочие другие, там, отраслевые и общие государственные стандарты, и международные стандарты.
00:14:32	Участник 1	То есть задача была создать не просто очередной стандарт, ну, который ляжет на полку, да? Или, там, в архив куда-то, а именно стандарт, который будет работать и которым смогут пользоваться, ну, скажем так, большее количество разработчиков. Ну, в 1-ю очередь там наш Стания, конечно же, да? На тот момент времени. Вот, с учётом того, что у нас. То есть это. Там я напоминаю, там реально там 1214-й, там, 1516-й год, сейчас у нас уже там 25-й год активно Такда там идёт уже смело половина года прошла, то ситуация, конечно же, по сравнению с 16-м годом очень.
00:15:18	Участник 1	Сильно поменялась. Ну, во-первых, 1-я положительное изменение, которое мы все видим с вами, я так думаю, это зрелость выросла в командах разработки. Это это осознанность выросла в топ менеджменте вендеров, которые. Ну, если ещё там в 1617-м году отмахивались и про безопасную разработку там разговор был в формате ну да, мы что-то слышали. Ну, там никто даже это не читал, не знал и так далее. Там страшные слова там типа Девопс всек Девопс Апек и так далее, но они там обсуждались очень конкретных организациях, командах, о сообществах технических специалистов. То сейчас мы что с вами наблюдаем? Ну?
00:16:09	Участник 1	Даже чиновники, которые, мягко говоря, не очень близки к IT в целом не то, что к IT секу, они, ну, слышали про безопасную разработку, они понимают то, что да, это какая-то нужная вещь, без которой, наверное, как бы, безопасность в нашей стране будет, ну, не очень хорошем уровне. То есть, да, глубина, техническая составляющая это уже вопросы, конечно, более касающиеся там инженеров, там, ап Скеерров, девоперов, там, разработчиков и так далее. Но в целом общая такая зрелость общества нашего, которая вот в этой сфере находится, крутится и работает, она очень сильно выросла с того момента. Но кроме того, чтобы.
00:16:50	Участник 1	Уже сло понимание, осознанность изрелось, как я сказал. Конечно же, у нас очень сильно с того момента времени произошёл прорыв в развитии технологий. Ну, я сейчас говорю именно с точки зрения нашей темы, да? То есть именно с точки зрения те темы, да, безопасной разработки. У нас сейчас появилось, действительно, много новых, ну, где-то не совсем прямо полностью готовых, где-то сыроватых, но где-то вполне хороших и качественных стандартов, которые систеатизируют, устанавливают требования для, ну и автоматизации процессов, для конкретных видов, там, проведения, там тестирования, там, в частности, там, для систем статического анализа, там, для фазинг тестирования, там.
00:17:33	Участник 1	Для процессов, для ком, сред сборки и компиляции, и так далее. Вот. Поэтому мы, ну, точно с вами можем наблюдать развитие, да, этого направления. И, как бы бы, я думаю, что дальше это должно быть всё более таком, понятном, хорошем, удобном, желательно автоматизированном или полуавтоматизированном формате реализовано. Ну, поскольку у нас слайд, презентация называется История, да? То-то есть, вот, история начало разработки. То есть что такое начало разработки? Ну, мы понимаем, что это ностельская работа, это мир, который мы выполняли. То есть если апрель 2013-го года это начало мир, то есть это уже, значит, всё согласовано с.
00:18:19	Участник 1	Участниками с техническими комитетами, там, с федеральными органами и так далее. Хотя, зарождение, подготовка, техническое осознание сбора авторов там и так далее это, конечно, ну там 10-е плюс плюс минус десят 2010-й год. Вот, при этом 1-ю редакцию Стандарта 16-го года. Ну, я так, верхнеуровнево называю 1-ю редакцию, потому что редакций это было, на самом деле, очень много, вот, в моём чёткомого понимании, поскольку, как бы, там я. Я там являюсь 1 из вторых лет Стандарта, как бы, было там около 8 или 9 редакций, на самом деле. И после 16-го года был редакции 18-го года и 19-го.
00:19:00	Участник 1	И 20-го, и 22-го года редакции были. Вот. Но мы с вами как высокоуровнево смотрим на то, что было принято миньюстом, да? И то, что официально мы получили общий доступ. Ну, общий доступ мы получили с вами редакцию 16-го года на тот момент времени. Ну и сейчас у нас 24-я редакция 56939. Вот. То есть в рамках ТК 62 всё это было проведено. То есть было довольно большое количество организаций, которыеторая участвовала в обсуждении данного стандарта, в рассмотрении данного стандарта и так далее. Но с исторической точки зрения на тот момент времени нам.
00:19:37	Участник 1	Наверное, было даже, может быть, сложнее, потому что по факту, ну, как бы, несколько человек таких занималась созданием этого стандарта из 1 из 1 организации. То есть. То есть. То есть Эшеллон занимался соз созданием этого стандарта. Другие организации они, как бы, больше, наверное, выступали в качестве критиков. То есть они смотрели, вывляли замечания, там, обсуждали эти замечания. Ну, то есть стандартные процессы, которые в рамках Мир у нас всегда ведутся. Вот. Но, вот, редакция 24-го года здесь уже ситуация совершенно другая. Она более интересная, потому что там, ну, участник уже не 1. То есть это несколько организаций, несколько.
00:20:19	Участник 1	Компаний, действительно, участвовали в, там, доработки, в изменении, в создании 24-й версии. Вот. И также потом в рамках там, Ткатре 62 те организации, которые являются активными участниками, но не не участвовали в разработке самого стандарта, они также там вставляли замечания, рекомендации, приложения, ну и так далее, и так далее. Вот, значит, из того, что, наверное, нам с вами важно будет сегодня проговорить. Ну, на мой взгляд, да? То есть, опять-таки, вопросы потом я, если я что-то не не успею проговорить, я с удовольствием отвечу на них. Значит, изначально, конечно же, данный стандарт разрабатывался именно для разработчиков.
00:21:06	Участник 1	Да. То есть для тех специалистов, которые создают продукт на разных этапах жизненного цикла цикла. Это касалось, конечно же, и архитекторов, и, там, специалистов по информационной безопасности, и ребят, которые пишут код, и руково, руководители, там, тимлиды РГ, которые участвуют в менеджменте управления на разных этапах жизненного цикла данного продукта, ну и так далее, и так далее, и так далее. Но поскольку в рамках этапа жизненного цикла у нас там был такой этап как там внутреннее кваликационное тестирование, например, и внешнее кваликационное тестирование, мы понимали, что, как бы, в любом случае у нас данный стандарт он также, получается, будет актуален.
00:21:52	Участник 1	И для тех организаций, тех команд, тех людей, которые будут независимо оценивать, ну, качество разработки, безопасность разработки и достаточность, актуальность внедрения тех процессов разработки на стороне вендера, которые, как бы, в рамках данного стандарта подразумевались. В тот момент времени было очень большое количество споров по поводу того, значит, а нужно ли делать привязку, там к сертификации, ну, например, к сертификации в апстк, там, сертификации, там, Министерство обороны и так далее данного стандарта? И были разные идеи, были разные там замечания, предложения. Но в тот момент времени мы, как бы, сделали основной акцент на том, что-то разработка безопасная это не.
00:22:45	Участник 1	Доммоклов, Мич, который нужно повесить над головой любого разработчика, а это, скорее набор таких требований, правил, которые позволят разработчикам повысить, повысить привлекательность его продукта на рынке. Я вот так аккуратно говорю Стандарт безопасной разработки. А я, вроде бы, про привлекательность, да? Но любой, как бы, технический специалист и любой там менеджер, любой IT специалист понимает, что. Ну, опять-таки, если продукт разработан в соответствии с правильно внедрёнными, правильно реализуемыми процессами безопасной разработки, то, как бы, мы, вроде, говорим про информационную безопасность, там, про безопасность процессов разработки, но мы курсвенно всё равно затрагиваем и качество разрабатываемого продукта, и там, может быть.
00:23:37	Участник 1	Какие-то вещи, связанные с до дополнительными требованиями по, там, поддержке, по обратной связи с конечными заказчиками и так далее. То есть это те вещи, которые, ну, на наш взгляд, должны были бы быть очень полезны и актуальны в 1-ю очередь разработчикам. Но реалии у нас таковые, что. Ну, всё, что касается безопасности информационной в 1-ю очередь, то, что касается, ну, как бы, таких процессов, которые отвечают за эту безопасность у нас. А во многих организациях, особенно государственных организациях оно ставится, ну, наверное, вы знаете, на последнюю там ступеньку, да? То есть в последнюю очередь. То есть, да, есть бюджет.
00:24:25	Участник 1	Там. И, как бы, вот, какая-то долика, толика это это этого этого бюджета она в последнюю очередь распределяется на процессы безопасной разработки, на самой информационной безопасности и так далее. То есть всё, что обязательно, да, это надо. А всё, что рекомендуемо. А я напоминаю, что любые Госты у нас вообще. Ну, не только у нас вообще во всём мире они, в принципе, то, ну, по умолчанию носят рекомендательный характер, да? Вот, они, ну, как бы, в последнюю очередь оцениваются. И на выходе уже с 17-го, восемнадцатемнаого, 1920-го там, и там, то, ну, ковидный период мы не трогаем там.
00:25:05	Участник 1	То есть, условно говоря, просто ковидный период времени мы понимали и видели все, что, условно говоря. То есть стандарт 16-го года есть давно принят, давно описан. Там кому то он в моменте там был понятен, кому то нравился, кому то не нравился. Вот, да, там было понимание, что его нужно там усовершенствовать, адаптировать по текущей реалии. Но тем не менее, он был. В 19-м году вышла 2-я часть это типовые угрозы при разработке безопасного процесса 58, да? Ну-ну, ну, в смысле, стандарт об безопасной разработки Сдтого года, где были прописаны базовые угрозы, которые которыми, которые можно использовать при.
00:25:48	Участник 1	Моделировании при создании модели угроз, процесса разработки процессов безопасной разработки. И по факту, ну, как бы, только небольшое количество компаний, организаций а этим пользовалось. Поэтому уже в редакции следующих стандартов, уже в рамках дополнительных там рекомендаций со стороны регулятора, ну, было принятолевое решение, что данные стандарты из рекомендательных нужно выводить в обязательные. Ну, в части касаеммо, да? То есть на сегодняшний день мы с вами живем в каких реалиях? Что все эти вендеры, разработчики, заявители, которые планируют свой продукт сертифицировать. Ну, например, в системе сертификации стек России, а они, ну, как бы, по большому счёту обязаны. Ключевое слово обязаны. С.
00:26:39	Участник 1	Реализовать, подтвердить реализацию мер по безопасной разработке. Либо в рамках. Сейчас у нас существует отдельная сертификация по безопасной разработке, да? Это 5-я область аккредитации у нас появилась, ну, относительно недавно. То есть она свеженькая, год как. Вот, либо в рамках самого процесса сертификации продукции разработчик, ну, по новым требованиям, по требованиям доверия, по Семьдесятому приказу, ну, обязан это выполнить и подтвердить, иначе сертификат на продукт он, скорее всего, не получит. Значит, данную Стафеу, как я уже сказал, многие другие федеральные органы также активно, ну, тоже подбирают. То есть, ну, допустим, если мы говорим про Министерство Оборона, по сертификации по министерству.
00:27:28	Участник 1	Оборона. То есть, да, это активно обсуждается. И на самом деле, в своё время ещё в 17-м или в 18-м году отдельном там в рамках отдельного Комитета по ли, Министерству Оборона был выдан приказ о том, что, да, как бы, в рамках разработки, в рамках окро там ещё Окрор и так далее. То есть все ппк, который разрабатываывает изделия, системы для, там, вайного назначения и дальше будет сертифицировать это Полини, Средстваборо тоже должны внедрять процессы безопасности, разработки. Там прямо конкретно прописано выполнять требования ГОСТ, да? 56939. Вот. Поэтому се, на сегодняшний момент времени, конечно же, мы.
00:28:06	Участник 1	Понимаем, что у нас. Ну, целевая аудитория там на в 1-м приближении это разработчики. Но и все испытательные лаборатории, независимые оценщики, аудиторы, которые именно осуществляют услуги по оценке внедрения меры или или процессов данного стандарта, они, как бы, руководствуются этими документами. Значит, история так, вкратце я вам рассказал высокоуровневое. Если будут дополнительные вопросы, ещё раз расскажу. Я бы сейчас хотел потратить оставшуюся часть времени на сравнение и актуализацию того, что было с тем, что стало. Почему я, как бы, решил сюда это добавить? Потому что очень часто ко мне приходят различные наши партнеры, заказчики, вендеры, которые. Ну, допустим, допустим, они.
00:28:53	Участник 1	Прошли подтверждение по 16-му релизу стандарта. Сейчас слышелл, 24-й Лиз, говорит а что нам делает? То есть нам заново нужно запускай там, что нам нужно переделывать и так далее. Значит, ну, для того, чтобы, ну, как бы так успеть ответить на этот вопрос хотя бы высокоуровнево? Потому что дальше, я думаю, что это будет подробно всё разбираться, а мы должны с вами понять, а в чём же разница между 16-м релизом, 24-м релизом? Значит, ну, как бы, 1 ещё исторический факт какой? Что 24-й релиз, ну, условно, на самом деле, он должен быть 22-м был то.
00:29:25	Участник 1	Есть в 22-м году это, на самом деле, должно было быть всё уже адаптировано, и мы в 2022-м году уже подготовили там версию стандарта, там 22 от отдали там на рассмотрение в тех. комитет. Но поскольку там бы были вот эти там посковвидные времена какие-то, то ли где-то что-то это пролежало, где-то не пролежало. И уже потом, ну, как бы, после этого момента с учётом времени, с учётом того, что подключилось, ну, значительное сообщество и компаний, организации, специалистов, это всё затянулось и получилось только 24-й релиз. Но основная кон концепция.
00:30:06	Участник 1	Основная идея была какая. Нужно было отмер технических, которые были в 16-м релизе, перейти к процессам. Ну, то есть продумать те процессы, которые не рели, не не были описаны в 16-м релизе, продумать, ну, актуализацию соответствия и так далее, и так далее. Вот. Поэтому если мы с вами открываем 16-й релиз и смотрим, там у нас есть технические меры и. Ну, это 5-й раздел большой, в котором эти меры все приведены, описаны и уточнены. Значит, и там, по большому счёту, эти меры они, конеч наши актуализированы, привязанные, связаные с процессами разработки, с этапами жизненного цикла. Вот, плюс там были дополнительные.
00:30:57	Участник 1	Меры, касающиеся актуализации специфических разработок. Ну, в частности, там, для тех вендеров, которые делают совсем специфические вещи, там, аппаратно программные средства или, там там, программные средства, которые используются, ну, подсппециализированные задачи, там, с учётом международных требований, с учётом внутренних требований, закрытых, открытых и так далее, то вот этот вот набор компенсирующих мер он был специально внедрён для того, чтобы у любого разработчика было несколько вариантов развития событий. То есть у него было несколько путей, как реализовать ту или иную меру или обосновать, что это мера для него оно не реализуеа в рамках, ну, внедрения процесса безопасной разработки. Значит, в 20.
00:31:45	Участник 1	4-м релизе у нас. Ну, как бы, получилась такая немножко путаница, на самом деле, потому что, вроде бы, мы перешли на процессы. Вроде бы, да? Но у нас там сейчас книжке в самой, как написано, Процессы слаш Меы. Вот, то есть стало 25 сейчас процессов слаш мер. Раньше их было там около 14 из 12. Там такое там были в ком с учётом компенсирующих 14. Но по факту, как бы, да, появилось несколько новых мер, процессов, которых не было подробно описано в 16-м релизе. Но дефакта получилась следующая история, что просто те меры, которые были в 16-м релизе, они.
00:32:32	Участник 1	Были, ну, разделены из 1 меры на несколь процессов мер, да? Где-то, конечно же, они более чётко, более кра качественно описаны, стали более подробно, что самое главное, да? И для многих это, как бы, такой фактор важный и понятный. Вот. Но в целом, как бы, появились некоторые нестыковки, которые. Ну, в рамках обсуждения, почему там мы как-то все дружно. Ну, я говорю, что уже мы там не не только Эшеллоны, а другие организации, которые в этом процессе участвовали. Там и ребята со стороны Касперского, и все другие участники, которые активно в процессе создания до 4-го релиза принимали на.
00:33:16	Участник 1	С сделали свой вклад, но почему-то все. Ну, то есть появились некоторые колизии. Ну, колизии там, связанные с новыми видами, допустим, тестировния. Ну, например, у нас появилась такая интересная вещь как не функциональное тестирование. Вот, при этом когда мы это всё обсуждали, ну, из всех участников активных никто не был. Ну, никто не проголосовал и никто не был за то, чтобы этот процесс внедрить. И он в итоге каким то образом, ну, в конце, в самом появился. Вот, когда уже там все сроки подходили, нужно было это на согласование в меню, там, отправлять и так далее, там, с регулятором.
00:33:54	Участник 1	В ТК обсуждать. Вот. Поэтому некоторые коллизии в 24-м релизе есть. Вот, обошлись с тем, что, всё-таки, оно носит рекомендательный характер. Но тут проблема какая? Произошла подмена понятий. Потому что сейчас что получается? Что в рамках 24-го стандарта у нас не функциональное тестирование это равно тестированию на проникновение. Ну, у нас есть ГОСТ, у нас есть определение термина, у нас есть термин там. Ну, либо Пинтест есть, вот, в 1 госте на определение в либо там по-русски это совсем уже там тестирование. Ну, на проникновение оно так, как бы, и есть. Так так так и звучит.
00:34:39	Участник 1	Вот. То есть фактически это контрл цэ. Контрл вэ именно того, что было в рамках Пинтеста, там ну там, 16-го релиза и адаптированных всех требований со стороны регулятора. Вот, значит, что мы видим в новой версии у нас? Ну, там появились, но какие-то новые ссылки какие-то остались, какие-то ссылки на стандарты были убраны. Ну, если вы посмотрите, да, то, как бы, убирались очень пе серии стандартов 15408. Потому что, ну, уже в 242322-м годах у нас концепция у регулятора поменялась. То есть 1598 это международные или как сейчас?
00:35:21	Участник 1	Говорят, зарубежные серии стандартов. Поэтому зачем нам идти их путём? У нас свой путь. Вот. Ну, колизии всё равно тут, конечно же, есть. Потому что-что, Четы, что 16-я версия, что большинство действующих на сегодняшний день. Вот, сегодня мы с вами в 25-м году, но у нас до сих пор действует куча нормативных документов профиле защиты, руководящие документы, которые, тем не менее, созданы на базе 15408, да? Вот. Поэтому, ну, как бы, что есть, что есть. То есть некоторые колизии всегда они. Ну, наверное, они неизбежный, да? Особенно когда, действительно, идёт активное обсуждение большим количеством, ну, грамотных.
00:36:04	Участник 1	Умных специалистов и все. Все все все все все моменты, как бы, про. Ну, учесть нельзя. Значит, ну, есть краткая с сотка изменений. Вот, вы на слайде видите там тем, кому нужно, я думаю, там, коллеги потом могут эту презентацию транслировать, но можно по зафиксировать. Вот. То есть были значительно изменены, ну, термины, определения. Некоторые были уточнены, некоторые были, как я уже сказал, концептуально поменялись. Вот, некоторые были введены, ну, впервые новые. Вот. Ну там, например, компзиционный анализ, да? И прочие какие-то вещи, которыеторых уж у нас там, ну, в релизе не было, потому что там были базовые вещи.
00:36:52	Участник 1	Там анализ архитектуры, там, Секиьюр Бай, дизайн и так далее вещи. Ну, вот, как бы, сейчас это стало более так, конкретно на более мелкие процессы разбито. Ну и я надеюсь, наверное, более понятно стало. Вот. Значит, при этом, конечно же, во всех версиях стандарта учи вылось. Мы не могли не учитывать. Ну, то есть практика, международные стандарты и все существующие методологии вендерские, которые уже зарекомендовали себя, ну, в принципе, с довольно положительной стороны на протяжении уже там, ну, более 10 лет. Поэтому здесь, ну, как бы, всё это в рамках процесса реализовано и работает. Значит, если смотреть теперь вот, верхнеуровнево.
00:37:37	Участник 1	На те этапы жизненного цикла с поддержкой процессов и меры, которые были в 1622-м релизе, то у нас получается, что? Значит, ну, получается, что у нас были процессы поддержки. Это 16-й релиз. Вот, мы сейчас с вами на слайде видим, да? То есть у нас были вообще процессы и конкретные меры, которые в рамках данного процесса должны были быть внедрены, ну, реализованы, поддерживаться и так далее. Процесс организационного обеспечения, там, обучение, периодического обучения, подбора персонала и так далее. И, ну, такие, более технические процессы с техническими мерами, которые так.
00:38:15	Участник 1	Которые, ну, как бы, касались именно конкретных вещей, связанных там с там функциональным тестированием, там, со статическими анализами, там, секрити код, ревью моделированием и так далее. Вот, значит.
00:38:34	Участник 1	Так.
00:38:40	Участник 1	В 24-м релизе мы, ну, видим некоторое уточнения, да? То есть у нас появилось планирование процессов, у нас появилось, ну, отдельные процессы и меры по формированию требований к продукту, управление конфигурациями, управление недостатками, запросами, там, обновление, условно говоря, там, реализация и так далее, и так далее, и так далее. То есть всё то, что. Ну, раньше, может быть, было объединено, сейчас она стало более конкретно прописано. И, наверное, более понятно, у нас появились конкретные, ну, инструкции по тому, что делать в случае, например, если в продукте обнаружена уязвимоость. Кем она обнаружена? Как обнаружена? Как мы их фиксируем, как создаем?
00:39:23	Участник 1	Паспорта уязвимости. Как делаем? Ну, условно говоря, об этом информируем всех наших ипоинтов, информируем регулятора. У нас есть бду, вот там стек, например, да? Там, базы данных уязвимости. В данном случае про уявимости говорю, не про угрозы. Значит, есть международные базы уязвимости, которые прямо в стандарте у нас прописаны, что мы обязаны также их учитывать и так далее, и так далее. То есть для того, чтобы у нас наш продукт находился, ну, в довольно хорошей степени качество и безопасность. Вот из таких принципиальных вещей, которые, вот, в 24-м релизе мне, ну, как бы, нравится, потому что я ещё 16-м.
00:40:08	Участник 1	Релизе про это говорил, что это нужно внести. У нас поменялась очередность некоторых процессов, она выстроилась в правильную иерархию. Ну, то есть если в 14-м релизе у нас там управление ресурсами ну, там, менеджмент Дских ресурсов там было такое название, он, как бы, был там, условно говоря, в конце по в одних из, там, финальных мерах. То есть здесь он у нас появился в начале. То есть мы говорим о том, что, да, построить процессы безопасной разработки без обученной команды, без обученных специалистов, квалифицированных специалистов, которые понимают, что это так такое с точки зрения, там, верхнеуровневой архитектуры, с точки зрения.
00:40:46	Участник 1	Там процессного подхода с точки зрения технической реализации, ну, как бы, не получится. Вот. А дальше в реальных боевых условиях мы столкнулись с тем, что при внедрение процесса безопасной разработки 1-й самый часто встречающийся вопрос а кто у нас должен отвечать за рпо? Ну, у нас я имею ввиду разработчика, да? То есть это любимый вопрос всех разработчиков а кого давайте мы назначим ответственным за безопасную разработку? Чтобы у нас на всё отвечало всё делал, вот и так далее? То есть, конечно же, в реальных их, в реальной жизни так это всё не работает. Вот. И, вот, для того, чтобы.
00:41:17	Участник 1	Это было более-менее понятно. То есть вот здесь отдельно выделено отдельный процесс слеш, мра мера, который, ну, как бы, показвают, объясняют верхнеуровневые, опять-таки, для того, чтобы, что нужно делать для того, чтобы реализовать. Вот. Значит, поэтому. Ну, я надеюсь, что стандарт, как я сказал. Ну, есть там что ещё поменять, есть, что ещё там улучшить, усовершенствовать. Ну, стал более таким, более обширным. Вот. Ну и сами процессы анализа здесь у нас, как бы, довольно хорошо тоже стали описаны довольно подробно, да? Тут нет пошаговой инструкции, естественно, тут есть кроссылки на другие стандарты, ну, например, в частности, да? У.
00:42:03	Участник 1	Нас я сегодня говорил, появились стандарты, которые коллеги из Паранта делали. Это стандарты по статонализаторам, по фазерам, по безопасным компиляторам и так далее, да? И вот они все здесь, в принципе, в эти процессы, ну, не в явном виде, но, как бы, ссылки есть, да? То есть на это на всё дальше. В рамках каких то уже там регуляторов они применяются или не применяется в рамках, там, вендеров. Это вендер каждый принимает, принимает решение подводить или не подходить. Так, значит, ну, саппорт, поддержка. Но он был в 16-м релизе, естественно, здесь более подробно стало эта написано, да? Здесь в рамках.
00:42:51	Участник 1	Процесса поддержки. Ну, в частности, например, Стек немножко подккуручил гайки, потому что, ну, наверное, по-другому это как-то не мотивировало разработчиков. Саппорт у нас, как бы, является сейчас обязательным условием. И вообще то я напоминаю, что базовым ключевым условиям, допустим, актуальности действия сертификата соответствия на продукт является гарантия разработчика по поддержке. Если вы, те, те из вас, кто. Ну, может быть, не видел, можете посмотреть, те, кто в теме, они понимают, о чём я говорю. У нас есть, допустим, реестр Сксльти защиты информации. Это табличка, ну, экселевская, условно говоря, да? Которой, ну, уже относительно давно там уже как несколько.
00:43:40	Участник 1	Лет как появился столбец о сроках поддержки, гарантии, сопровождения, то есть га гарантийные обязательства и так далее. Вот. И фактически получается такая история, что прекращение поддержки продукта к окончани срока поддержки продукта равно, ну, как бы, приостановлени или прекращение действия, там тех сертификатов, которые данный продукт получал. Вот. Поэтому здесь сейчас всё это, как бы, обяано в такую, единую цепочку именно в привязке к продукта на разных этапах жизненного цикла, да? Значит, ну, опять-таки, поиск уязвимости, поддержка на этапе обучения сотрудников и так далее. Как я уже говорил, всё это есть. Значит, что ещё? Ну, то есть если 16-й.
00:44:26	Участник 1	16-я версия стандарта, она была, как я вам уже сказал, описана и разработана, в принципе, в формате, ну, технического зева. Вот, так называемый. То есть вообще 15408 сер стандартов это не список, это такая древовидная, иерарх, фктическая архитектура, в которой была чёткая зависимость. Есть наборы мер, есть описание мер, есть цели, результаты, требования корлизации этих мер. То есть, в принципе, в 1-м приближении те, кто с 15408 до этого момента не сталкивался и читал это 1-й раз, им было немножко непривычно. Не стандартно, непонятно, но все технические специалисты, которые реально занимались внедрением, все те ребята, которые.
00:45:04	Участник 1	Там занимались внедрением на стороне вендера, а процесс безопасной разработки потом, не сговариваваясь, в 1 голос, говорил, что да, ну вот эта древовидная архитектура она, конечно, была более удобна, более гибко, более понятна. То есть там не требовалось доказательство требований в зависимости что от чего зависит, что к чему приходит. Значит, 24-й редакция, тут немножко ситуация поменялась. То есть у нас есть списковая архитектура. То есть у нас есть пересечение, там, ну, описание точнее требований. Ну, там дальше цели, требования реализации задачи и так далее. Ну, то есть в виде такого, уже более привычного, многим, может быть, набора требований.
00:45:41	Участник 1	В формате того же, как у нас сейчас современные, ну, посление редакции рувающих документов прописываются, стандартов, отраслевых стандартов и так далее. Вот так, как я уже и говорил, у нас, ну, при создании стандартов использовалось довольно большое количество зависимостей. И требования по смип, и требования по жизненным циклам, по безопасности приложения и так далее, всё это учитывалось в рамках 24-го релиза. Часть этих требований от них отказались, ну, потому что они там по, там, политическим или по каким то другим причинам стали не интересны, не актуальные. И как бы. То есть международная практика, конечно же, всё равно учитывалась там.
00:46:24	Участник 1	Поскольку у него, допустим, там активное участие. Там, то есть на базе у лаборатории Касперского вообще этот стандарт писался 24-й релиз, то, конечно же, коллеги в 1-ю очередь учитывали и свой опыт разработки, международный опыт разработки и так далее. Поэтому, ну, как бы, здесь эти базовые вещи все, конечно, они были учтены. Вот, значит, ну, по перспективам развития стандарта то, что было запланировано в 16-м релизе, и то, что запланировано в 24-м релизе, у нас немножко картинка поменялась, потому что от 4 к ниже, там, 35 ниже. Сейчас перешли к немножко другую иделоию. То есть сейчас. Ну.
00:47:05	Участник 1	Вот, на сегодняшний момент, допустим, есть ещё 11 версия стандарта в рамках ппо это меры по оценке. То есть это стандарт, который пишется для как раз таки для оценщиков больше по каким критериям будет с будет оцениваться внедрение вне, насколько хорошо, качественно внедрён данный стандарт и так далее. В рамках 16-го релиза тоже было там идеология, там сделать методику оценки прямо в виде стандарта, кото, по которой можно было делать и так далее. Но опять то, что было в 16-м году, сейчас уже, ну, актуальность не имеет. Поэтому мы в качестве нашего сегодняшнего с вами разговора про историю упомянули.
00:47:47	Участник 1	Про него, но учли, да? Знаем. А дальше мы, как бы, живём в тех реалиях, которые у нас, как бы, сегодня есть. Вот, значит. Ну, опять-таки, у нас есть 192 года серия стандартов по типовым угрозам безопасности информации при разработке программного обеспечения сейчас, да? Есть идея его тоже актуализировать, доработать, обновить, модернизировать. Вот, дальше у нас есть задачи по уточнению, более подробном описания рекомендаций по реализации тех или иных процессов. Ну, то есть каждый процесс, по идее, должен будет быть более подробно описан. То есть, скорее всего, это придёт к тому, что каждый из процессов, которые вот эти.
00:48:31	Участник 1	25 процессов, которые у нас 20 четвёрй рекции есть. Он будет описан либо в виде отдельного стандарта, либо в виде отдельного какого-то отраслевого документа, который будет там в зависимости от того, на какой рынок вендер выходит там. Либо для него это будет обязательное требование, обязательная рекомендация. Ну, то есть рекомендация точнее в требования превратиться, да? А либо это будет на уровне рекомендациий, каждый из вендеров будет принимать для себя решение да, я иду по этому пути или нет? Я, как бы, немножко по-другому пути иду. Вот. Ну и в целом доработка стандарта, адаптация стандарта, работа над ошибками.
00:49:07	Участник 1	Она уже сейчас понятно, что нужна. То есть мы уже сейчас понимаем, что да, 24-й релиз. Ну, когда это другой вопрос. Но нужно немножко модернизировать, переписать, потому что там есть некоторые, ну, скажем так, не совсем правильные проце, процессы, меры и так далее. Вот. То есть да, это в этом всё есть. Значит, на последнем слайде вы видите мою почту рабочую, мои телефоны контактные. Вот. Поэтому, в принципе, можете мне, если будут какие-то вопросы, которые мы сегодня успеем обсудить, что-то направлять, я постараюсь с ним ответить. Я вижу, что здесь у нас, на самом деле, в чате.
00:49:47	Участник 1	Коллеги задают уже вопросы. Это здорово. Я сейчас попытаюсь его прочитать. Ответить. Любопытно, чем был обусловлен переход от этапов к процессному подходу в сложенжение стандарта? Чем был обусловлен? Ну, наверное, желанием некоторых высокопоставленных регуляторов. Потому что где-то когда-то почему-то, может быть, кто-то прочитал, может быть, кто-то услышал решили, что процессы они более жизнеспособны, чем меры. Вот, единственное концептуаная стратегическая техническая ошибка, которая уже сейчас допущеная. Мы сами это видим. Ну, я надеюсь, все здесь присутствующие понимают, что процессы это ни разу не равно меры. Это абсолютно 2 разные области. Они, ну, коррелируются, пересекаются, но точно.
00:50:45	Участник 1	Мы не можем между ними поставить зна, но по факту в 24-й редакции у нас этот знак пока временно стоит. Я надеюсь, что временно, да? То есть я надеюсь, что дальше мы, как бы, это всё уточним и либо, таки, действительно, полноценно перейдём на процессы, ещё вернёмся к мерам. Вот, либо там сделаем какую-то гибридную историю. Но, как бы, да, вот, те из вас, особенно технических специалистов, которые там понимают теорию, понимают практику, да, конечно, оно, ну, немножко режет глаз, да? Наверное, я вас понимаю. Поэтому здесь пока это такое допущение. Ну, как бы, может быть, оно не.
00:51:26	Участник 1	Критичное прямо настолько, да? Но оно немножко. Как это выбивается из конце, из из идеологии и концепции. Поэтому мы, вот, пока живём с этим. Так, значит.
00:51:41	Участник 1	Стандарт по управлению конфигурацией впечатляет Какой-то он комплексный очень. Ну, здесь, как бы, по поводу комплексной или не комплексной, наверное, нужно, ну, как бы, быть в кон в контексте, да? То есть нужно понимать, где он применим, для кого он применим, как, как, как им помо пользоваться. А самое главное, как им пользоваться конкретно мне при внедрении, при практическом внедрении процесса безопасной разработки у себя, вот, в своей организации. Потому что, ну, грубо говоря, многие процессы, слош меры, которые у нас есть, они написаны так. Очень интересно, что я как и Вендер, например, я могу принять решение для себя.
00:52:25	Участник 1	Там их внедрять или не внедрять? Ну, единственное, конечно же, мне это нужно обосновать, почему я это не внедряю и так далее. И, вот, допустим, что мне реально сейчас очень не нравится, ну, с точки зрения безопасности, здравого смысла, в конце концов, это не функциональное тестирование, которое я напоминаю. Это контрл цэ. Контрл вэ тестирование на проникновение. И я, допустим, и, ну, как бы, в рамках ТК 362 многие организации сошлись на том, что ну, это же рекомендовано, это не обязательно. Но любые специалисты с разным опытом, с разным бэкграундом, с разным количеством лет проработавшим в этом сегменте.
00:53:05	Участник 1	Да, в IT сети. Ну, наверное, они согласятся со мной в том вопросе, что. Ну, вообще то тестирование на проникновение это 1 из краугольных камней отвечающий или, да? Дающий возможность нам понять, что у нас реально то с безопасностью. Потому что тестирование, проникновение это фактически эмуляция действий злоумышленника такующего там и так далее. Вот. Поэтому здесь, ну, попытка некоторых разработчиков уйти от этого, ну, по разным причинам бюджеты сэкономить, время сэкономить, может быть, ну, не нанимать, например, да? И так далее, она такая, ну, очень очень специфическая. И, ну, как показывает практика, ну, моя, например, личная практика, вот это. Ну.
00:54:04	Участник 1	Как бы, такой, не совсем правильный путь. И, конечно же, всё, что касается базовых вопросов по информационной безопасности, нормальную модель угроз, да? Там нормальная интегрированная, хорошо обученная команда, которая работает именно по по по разным направлениям и по код ревью, и по там, Фазерам, и по статике, и по, там, функциональным тестам, Юни, тестом, по интеграции CI/CD там, по автоматизации и так далее. Это всё, ну, как бы, командная работа это всё про безопасную разработку. И будет отсюда что-то одно убрать. Ну, это, как бы, очень странно, да? Ну, то есть то есть непонятно, а зачем тогда это?
00:54:46	Участник 1	Вставлять для того, чтобы потом это не использовать. Вот. Ну, то есть имею вду станд, вставлять стандарту, описывать это стандарте, а потом говорит, что ну да, классно, но, ну, типа, мы это, как бы, не будем делать. Вот. Поэтому, как бы, здесь такой, тонкий тонкий момент. Так, а, ну, кто-то нам написал, что такоеой процесс. Процесс это, вот, Александр нам написал, да? Это последовательность действий направлена достижения цели, в то время как мера это конкретное действие. Вот, значит, ну, для управления, воздействия на этот процесс. Ну-ну, да. Ну, я про это и сказал. Но это не равно, да?
00:55:23	Участник 1	Это, знаете, как сравнивать, что? Ну, вот, все понимают, чем, допустим, профиль защиты от задания по безопасности отличается, да? Это приблизительно про это же, да? То есть, ну, если профиль у нас это, как бы, общие требования, да? Там о описание общего, там класса продуктов. А задание по безопасности это конкретно реализация конкретного продукта на соответствии данным требованиям. Вот здесь. Но здесь, как бы, такая же история, уважаемые коллеги. Значит, так Владимир написал. А вопросы. Да? Слушайте, я что-то не увидел. Спасибо. Спасибо. Так.
00:56:07	Участник 1	Ну, на 1-й вопрос я ответил по поводу перехода 16-го релиза. Тут Александр задаёт вопрос зачем была изменена? Тут понимаете как? Зачем? Это очень сложный вопрос. То есть, как бы, решение принимается же, ну, определёнными власть темущими людьми в различных организациях. Как бы, это. Знаете, как мы вас послушали? Спасибо за ваше мнение. Ну, как бы мы вас послушали, а я решил вот, поэтому, ну, принято и принято. То есть с этим, ну, как бы, уже нет смысла на это время тратить обсуждать. Живём. Потому что есть Виталий, а нет. Такое мнение было, что мера было неудобно, а процесс стал.
00:56:45	Участник 1	Удобно. Ты вот так такое не думаешь. Вы знаете, я как-то высокоуровнево с эти это слышал. Но когда я задаю вопрос коллеги а вот можете мне привести пример конкретный из жизни. Чем меры неудобная? Ну вот как-то вот программистами, которые общался, они говорят как-то процессы мы понимаем, а меры куда? Чего их как бы. А процессы вроде как всё на с место остало, всё поняли типа. Нам интересный момент. Тут интересный момент какой? Когда, вот, Виталий, ты говоришь программисты, ты имеешь в видду организацию или программис? Конкрет. Разработчики, которые сидят, пишут код, желательно на удалёнке, желательно где.
00:57:22	Участник 1	Нибудь надачи с хорошим видом на лес или моря. А у них вообще цель то 1. Им эта вся безопасная разработка она, как бы, не нужна. Им нужно, что? Ну, чтобы им платили вовремя деньги, желательно больше, чем они успели там потратить время онлайн. Я не говорю сейчас про всех разработчиков, но я говорю про идеологию, да? Вот. Поэтому здесь больше всего больше всего, ну, сопротивление именно идёт со стороны ребят, которые не очень понимают, что такое ропп, для чего она делается, и которые не хотят, ну, за те же деньги тратить больше времени, условно говоря, на то, чтобы что.
00:58:01	Участник 1	То правильное или более безопасно реализовать? Интересная ситуация. То, что сейчас руководители, вот, в последнее время приходят сами и говорят так, мы хотим рбпо. То есть руководители, которые, ну, как бы, у которых есть там возможность управления, выделения средств, выделения финансов, они говорят да-да, мы нам можно. Разработчики говорят да нет, вам не нужна. У нас и так всё хорошо. Слушайте, я уже, сеньор разработчик, я 25 лет пишу код на си. Что вы думаете, что там какой-то там безопасный разработк? Да? Я без ошибок пишу, уж тем более без уязвимости оно Какой вам орб пос зачемно?
00:58:35	Участник 1	Вам? Ну, что вы за глупости рассказываете? Вообще так.
00:58:42	Участник 1	Владимир задаёт вопрос Эшелонн будет 3-м органом. Какая той области аккредитации 2-е? Я то понимаю. Давайете, скажу просто это сокраальный вопрос индустрии. Виталий. Просто я слышал, ты это или нет, но я даже, вот, как бы, честно говоря, Сенах стек вопрос задавал, что коллеги, если посчитать количество лицензиатов и 205 количество орган 1. И если посмотреть очередь, то она, по-моему, до 27-го, что ли, года расписана, говорю коллеги, как 202829-го. Да-да, коллеги. Я говорю представляете ситуацию? Кто-нибудь очень продвинутый и компетентный съездит, например, на тб Форум из 8-го управления Генерального Шштаба.
00:59:27	Участник 1	И скажет. Коллеги, теперь в ТЗ пишем, что могут принимать участие только те, кто прошёл сертификацию процессов. И получается, что в тендер никто вый не сможет вообще. То есть с 1 органом он 1 орган просто столько организаций не про сертифицирует. Потому вопрос, что там говорят то когда будет 2-й и будет ли и будет ли это вы? Поэтому вопрос поддерживаю. Я понял. Ну, 2-й раз тут написан вопрос, Владимир пишет про про 3-й орган. То есть он уже знает, кто 2-й. Очевидно. Но я так додываю, что 2-е. Но я не знаю, кто. 22-го нет, 2-го нет. Значит.
01:00:06	Участник 1	Орган у нас 1 на сегодняшний момент времени всё тот же. Вот, значит, тут, как бы, история такая. Она не техническая ни разу, она скорее политическая, а, если быть совсем честно, финансовая исключительно. Вот. Поэтому, как бы, решение будет приниматься. Но единственное, что я могу сказать, если у нас тут есть коллеги из впк, разработчики, которые для, ну, помимо Барони работают, могу вас успокоить, потому что если 8-е управление там примет решение о том, что спецификация процесса без безопасной разработки, там, с какого-то периода времени должно быть актуальная, обязательное точнее, да? Обязательно, то, ну, наверное, это будет точно не.
01:00:54	Участник 1	25-й год, а, скорее всего, 26-е, потому что как раз приблизительно в этот момент мы сейчас разрабатываем обновление требований по безопасной разработке и по сертификации длямиеннообороот. Вот. Поэтому. Ну, то есть там любой процесс подтверждение он должен быть 1-е конкурентоспособным. Когда где-то в какой-то в любой области есть только 1 организация это монополи, да? Вот. И априори монополия это не качество, это не беззопасность и это не экономия. То есть монополли ди диктует условия рынка, а рынок в данном случае. Поэтому для того, чтобы монополлии не было или, там, псевдо монополлии не было, а был рынок.
01:01:45	Участник 1	Чтобы любой разработчик. Вот, я тоже разработчик, например, да? Я мог пойти на рынок, выбрать из, там, 235, там не знаю там, 10 организаций, ту, с которой мне комфортно работать. Ну и это касается всего там и денег, и сроков, и вообще, ну вот, диалога, да? Потому что, ну, как бы, когда у вас там формат установить в очередь, а ещё, как бы, там как такового диалога нет, а ещё со стороны возникают, ну, такие, детские вопросы. И сам Вендер, который пришёл на оценку, он просто, мягко говоря, удивляется. У него воло с Доом во всех местах про.
01:02:25	Участник 1	Компетенции и так далее. Ну-ну, это. Это просто, ну, выглядит некрасиво, но это, ну, очень смешно и грустно одновременно. Поэтому, как бы, мы. Я думаю, что, да, несмотря на всякие политические истории, рано или поздно получим оператор аккредитации. Тем более, что, ну, формальных признаков пока больше нет уже, по которым мы не соответствуем. Вот, ну, как бы, всё. Всё. Всё, всё всё есть, всё сделано, поэтому работаётся. Да-да-да. Очень активная, на самом деле, Виталий, коллеги пишут, что уже в реестре есть Гипотз. И, вот, Владимир написал да, это это. Это коллеги из стека услышали мой спич опять.
01:03:14	Участник 1	Таки я потому что не стесняюсь, я в стеке это говорю про монополия. Ну и сделали 2-й орган Гнипа Тзи. Ну, посмотрите, сколько Гниптзи уже провёл экспертиз. А самое главное, ну, попробуйте к ним записаться на экспертиз. Если получится, расскажете потом. Не очень интересно. После 30-го года можно что-то. Ну, давай и с этой грустной темы немножко уйдём в сторону, посмотрим, есть ли ещё вопросы от коллег, чтобы не затягивать наш вебинар. А по поводу. С. Марков Алексей задал вопрос по поводу синхронизации 2 гостов. Тоже хороший вопрос. Ответь, пожалуйста. Ну, 58412 и 56900.
01:03:58	Участник 1	39. Сейчас они не противоречат друг другу. То есть те базовые угрозы, которые в. Ну, ещё раз, 58412 это 2-я книжка для 16-й редакции, да? Это типовые угрозы, которые были привязаны к мерам. Поскольку, как я сейчас сказал, у нас пока искусственно процессы, слеш меры, то, в принципе, там, ну, как бы, можно всё скоррелировать в том виде, в котором оно есть. Но, конечно же, нужно просто. Ну, опять-таки, те угрозы они же были к конкретным мерам привязаны. Мер было меньше, сейчас мер процесса стало больше. То есть нужно просто сделать адаптацию хотя бы по.
01:04:34	Участник 1	Соответствию. А мера процесс, угроза, мерапроцесс, набор угроз. То есть, ну вот, конечно, требования по релизу 19-го года 58412 подразумевает, что. Ну, наверное, появится 5841225 ближайшее время. А, может быть, 26. Ну, зависит от того, как по времени. Это тоже Шблон сделал год, насколько я помню, это ваш ГОСТ. Да-да, это наш ГОСТ. Изначально Эшеллон должен был делать 4 ГОСТ, Шшелонн сделал реально 3 в руководство. Вы сделали правильно, да? В сделали мы руководство, да? Но оно, как бы, даже, как я понимаю, на обсуждение не ушло. То есть там.
01:05:17	Участник 1	Оно даже не обсуждалось в рамках ТК. Ну, то есть оно, оно начало обсуждаться. Мы там это обсуждали, получили замечание обсуждении, а потом, ну, как бы, руководством ТК 362 было принято решение о том, что нет, мы вот сейчас всё это приостанавливаем, перепрыгиваем, переформатируем, ну и так далее. Угу. Витали пока там. Вот ещё читаешь, смотри такой. Вот, у меня тут помимо презентации я, вот, показываю вот такую статью. Смотри, эта статья про методологию безопасной разработки и такой вот ретроспектива туда вот, далеко назад. А. И мы видим, что примерно в 2004-м году тут самое ранее.
01:05:59	Участник 1	Да, в 2006-м году появились как раз эти документы. То есть работа у крупных разработчиков по, в том числе и в. Акедемия. То есть это такое сфера научная, да? То есть это есть 2004-й год мы видим. Получается, что разница между появлением России и вообще мировые тенденции примерно, ну, плюс -10 лет. Вот. То есть я знаю, что очень много в Эшеллоне, в том числе и ты, по-моему, да, являетесь специалистами Циф Циса. То есть вы про эти все истории знаете, как бы, не по наслышке и, вот, в принципе, вот, как бы, всё.
01:06:34	Участник 1	Это, как бы, лично прошли про сертифицировались и, можно сказать, в оплатили в этом Госте. Вот-вот эта вот такая дельта по годам она, вот, как-то сказывается? Или мы уже догнали, перегнали и у нас всё актуально? Как, вот, ты считаешь? Вот, на сегодняшний день, если мы берём, допустим, ну, давайте так, текущую версию, 24-ю версию стандарта берём, ну, там тот же сдф, например, да? И так далее, то мы. У нас нет дельты в 10 лет. Ну, у нас, условно говоря, есть некоторые особенности, перспективы, особенности, связанные с тем, что или кто или как попадает под требования.
01:07:15	Участник 1	Данного стандарта. Потому что, ну, как бы, у нас сейчас произошла основная количество. То есть с технической точки зрения у нас. Ну, там есть какой-то тиф, но это тив там. Ну, он там, может быть, в пределе года, да? Реально в пределе года. То есть это не 10 лет, не 5 лет и так далее. Вот, причём, ну, вот то, что хороший, кстати, очень слайд, ну, картинка потому что-то, о чём я как раз и говорил. То, что крупные они, кстати, огромное понрав, да-да, они они. Они. Они, естественно, об этом, ну, задумались ещё там до любых.
01:07:51	Участник 1	Там стандартов любых, там, сертификаций и так далее. Потому что им. Ну, у них. У них очень простое. Как бы я, если я крупный вендер, если я, ну, хочу выпускать международный рынок, там, качественный, безопасный, насколько это можно и насколько это актуально на сегодняшний день продукт, то да, я не могу этого не сделать. Ну, то есть мне нужно это делать. Мне не нужно дополнительно мотивировать, не ни с чьей стороны, да? Я понимаю, что я трачу на это определённый ресурс, но на выходе я получаю, ну, либо конкурентно, максимально конкуренттоспособный привлекательный продукт, ну, либо я понимаю, что мне что.
01:08:26	Участник 1	То нужно улучшить у себя внутри в процессах, там, в командах и так далее. Вот здесь вопрос мотивации как раз таки там. Ну а если вернуться к твоему вопросу по поводу, ну, разницы. То есть текущая версия там. Ну, там я, допустим, с Нистовой чаще всего сравниваю версии, да? Там и наша версия. То есть там я бы даже не сказал, что это отставание. Ну, это не совсем правильное. У нас как такового то отставания нет. У нас есть некоторые параллельные вещи, которые мы, ну, немножко адаптировали, а есть вещи, которые мы усилили. А почему? Потому что, ну, сдф, например.
01:09:04	Участник 1	Это же, как бы, история для большого количества разработчиков реальных, которые, ну, как бы, тратят на это свои деньги. И там у них очень много попущений. То есть они могут в рамках фреймворка подключать, а не подключать те или иные процессы, исходя из не требований регулятора или требования заказчика, а исходя из, там, финансовой оценки. Ну, секьюрити, код, ревью это дорого. Ну, я не буду его делать. Но риски связанны с тем, что если я это не сделаю и пропущу, будет уязвимость и на Инпоинте это приведёт к, тамм, утечке данных. Я заплачу там много 1000000-е штрафы, там, в долларах.
01:09:40	Участник 1	Или в евро. Ну, вот это вот мой риск. Я, как бы, оцениваю. Сколько мне как это оценить? Если я говорю про история Вендора, а у нас, как бы, немножко по-другому всё это работает. Ну, то есть, да, произошла утечка информация, да, произошла, нашла уязвимость. Я как российский разработчик заплачу. Ну, правильно, ничего, я заплачу, да, скорее всего, никому. Вот. Но у меня обратная история. Я, скорее всего, не получу необходимое подтверждение требования соответствияи документа, сертификата, если не реализуют ту или иную меру. Здесь есть, как бы, основная проблема. Почему? Потому что если я реализую ту или иную процесс.
01:10:19	Участник 1	Элемерру из-под палки. Ну, то есть из-под там того, что мне сказали, что это там обязательно должно быть. Тут вопрос очень такой, сскользкий а, ну, насколько я хорошо это реализовал? Это 1-й вопрос. А 2-й вопрос а кто проверится, как я хорошо это реализовал? Гу? Ну, зачи счёт банкетта? Ну, в бизнесе обычно таких вопросов нет. То есть мы, допустим. Ну, вот смотрите, мы за, там, с 2000, там, 18-го года. У меня там уже внедрили там реальных процессов довольно большом количестве организаций в разных организаций. И, вот, у меня статистика есть, у меня 70 процентов этих.
01:11:01	Участник 1	Организаций. Они вообще, ну, не выходят на рынок сста. То есть все сертификация в стеке. Вообще не они внедряли, потому что, ну, они хотели именно процесс внедрить. И там очень разные истории. И там, ну, из этого вот пула заказчиков, там, вендеров у них не стоит вопрос про финансы. Ну, точнее, он стоит у всех. Но они прозрелость, да? Это это зрелость. Вот, да? То, о чём я говорил. Как бы, если мы берём, там, ну, мой любимый без безковычек нормально, в смысле там, впк, то есть те организации, которые выполняют ок, в рамках госзаказа, то там ситуация кадинально другая.
01:11:38	Участник 1	Ну, то есть там Сног на голову, всё по-другому, там лучше не делать, лучше не тратить деньги на это и так далее. И никто не оценивает или не хочет оценить дальше риски, что с этим, какие последствия могут наступить. Вот. Поэтому, да, это всё так. Так это да, посмотрим, есть ли ещё вопросы. Если нет, тогда мы тебя будем отпускать уже и продолжать наш вебинар. Вот, от Владимира есть вопросы. Я его, может быть, неправильно понял Понимание, будут ли сертифицироваться процессы частично в рамках того, что реализовано? Ну, наверное, имеется в виду, что? А можно ли получить там сертификат?
01:12:19	Участник 1	На подтверждение процессов в том виде, в котором у меня внедрены Тамсэсдэлси, да? Условно говоря, если вопрос про это. А уровни зрелости? А реализовано, но не полностью сказали, да? Сейчас смотрите, сейчас ведётся в рамках вот этого вот нового стандарта по оценке ведётся как раз таки там в рамках ТК 62 создание документов, в котором будет указано несколько, ну, уровней. Ну, будут ли это уровни зрелости или как-то они по-другому будут называться? Уровни, которые будут говорить наскоко прям. Ну, хорошо или, там бо более хорошо или менее хорошо внедрены процессы по безопасной разработки на сегодняшний день там.
01:13:04	Участник 1	Последнее предложение. То, что мы обсуждали, это 4 уровня. 4 уровня, 1 из которых будет прям обязательный при сертификации, то есть минимальный. Ну и остальные там для очень высоких уровней зрелости. Ну, там есть некоторая привязка. Она не не явная, но косвенная привязка к тому, что если вы разрабатываете продукт, который будет применяться на объектах, где гостайна, то и требования по безопасной разработке, по процессам у вас будут более жёсткие. Вот. То есть пока это в формате обсуждения, ну, не общественного, внутреннего. То есть мы пока обсуждаем это внутри. Там много споров, много кто с чем не согласен. Вот. Поэтому.
01:13:48	Участник 1	Пока мы вот это не обсудим всё. Ну, наверное, раньше времени нет смысла сюда заглядывать. Так?
01:14:03	Участник 1	Алексей, Алексей, да. Алексей задал вопрос. Заказчик требует выполнить требования Гостгостер, причём конкретно 16-го года. Нужна ли сертификация процессора? Учи, в свою очередь, на неё? Значит, вот смотрите, чтобы правильно ответить на этот вопрос, нужно 2 уточняющих вопроса. 1-е. Значит, заказчик, который это требует, он находится в юрис Дикции, условно говоря, Министерство обороны стека там ФСБ, фсо. То есть, вот, если мы имеем ответ на этот вопрос, дальше мы понимаем, какие дополнительные требования будут включаться. Значит. Но если отвечать, в общем, вопрос, в общем, да? И отвечать, в общем, на этот вопрос, то а нигде, на самом деле, в самом.
01:14:51	Участник 1	Стандарте не написано, что подтверждением требований является сертификат. Нигде ни в какой редакции ни в шестнадцатоый, ни в 24-й это важно. 1-й момент. Значит, с учётом того, что сам стандарт по оценке требований он ещё в разработке, в стадии разработки, да? Ну, выглядит пока так, что и не появится. Значит, вот, вы не не путайте, пожалуйста. Основная концепция сертификации процессов, которые в стек ввёл 5-ю область про, о которой мы сегодня говорили, она, на самом деле, даёт одно, 1 бонус для разработчика. Какой бонус заключается в том, что вы можете, разработчик которого выпустить сертификат на безопасную разработку. Вы можете.
01:15:43	Участник 1	Саму лично без привлечения внешних организаций, ну, например, испытательных лабораторий вносить изменения в свой сертифицированный продукт и напрямую в эти изменения транслировать в Асттеэк. Точка. На эти все преимущества заканчиваются. Наличие сертификата рбопо.
01:16:03	Участник 1	А другой вопрос, что когда сертификация во Асттеке идёт не процессов, а продукта. Ну, 76-й приказ Требования доверия берём. Там даже самые маленькие уровни доверия там 6 уровней доверия, если кто-то не знает или кто-то забыл. То есть даже для самых маленьких уровней доверия у нас есть 1-й раздел 76-го приказа это там 9 требований, да? 9 разделов требований это всё про 56939. То есть там нигде не написано, что должен быть реализован гостгос там, 16 или Госстер 24. Там прямо конкретные прописаны меры слеш процесса и они должны быть выполнены.
01:16:42	Участник 1	Ну, например, там, управление конфигурациями, моделирование угроз, там, фазинг тестирования, ну и так далее, и так далее, и так далее. Там Методи и отдельно есть ссылка на методику Вндера. То есть вот это нужно рассматривать в таком контексте. Вот, опять-таки, если у вас это стек. Алексей ответил 1-е, да? В а стеке уже есть информационное письмо, приказ о том, что 16-й релиз в а Ссттеке утратил свою силу юридическую, поскольку вступил в силу 24-й стандарт, да? То есть изначально заказчик требую от вас 16-й релиз, он, как бы, ну, получается, изначально задаёт требование по соответствию того документа, который.
01:17:27	Участник 1	На сегодняшнее число, на сегодняшний год уже юридическую актуальность свою, ну, как бы, потерял.
01:17:37	Участник 1	Ну, тут уже 1 спрашивает про него, как бы, 17-го.
01:17:44	Участник 1	Давайте, наверное, продолжим. Большое спасибо очень. Виталий, очень интересно. Прямо с удовольствием послушал бы. Интересно окунуться в историю. И, возможно, мы ещё пообщаемся в каком нибудь 1 из следующих вебинаров, потому что и вопросы прямо интересные. Можно вообще какой-нибудь отдельно сделать. Даже так чувствую, вебинар через какое-то время собрать эти вопросы отдельно, прямо круглый стол сделать, всякие вопросы рассматривать. Потому что на. А, я приглашу его на следующий вебинар. Можно, да, я думаю, да, Виталий, а как насчёт нас? Следующий вебинар будет по процессу обучения. Просто я лично помню, как вы хорошо учите этому всему. И давай побатлим.
01:18:26	Участник 1	На следующем вебинаре расскажем про то, как мы учим безопасной разработки. Как ты относишься к этой идее? Позитивно отношусь. Приглашайоб, если балу устроить. Это вообще отличная идея. Не в среду у нас про учёбу, про учёбу. Окей, ну, приглаша. Отлично. Отлично будет интересно. Просто мы учим безопасной разработки, и вы учите безопас ке. Но вы орган лаборатория, а мы как бы. Ну, немножко другая организация и свои подходы. И мы пообщаемся, сравним где-то про плюсы, где-то ты задаш каждыйпро где-то я тебе задам каждый вопрос. Так как тебе такая идея? Отлично, хорошо всё. Спасибо большое. Тогда спишемся.
01:19:10	Участник 1	Я на спасибо всем. Хорошего дня и.
01:19:16	Участник 1	Спасибо. Витай. Так, а мы продолжаем, потому что ещё остались разные темы и вопросы по рассматривать. Итак, ну, кратко ещё продолжение вебинара. Мы чуть-чуть поговорим про сначала новый хост, ещё опять про причин создания. Мы прямо пройдём быстро, потому что у нас была сегодня отдельная прямо презентация про это. Прямо совсем кратенько про структуру хост обсудим, а актуальность его внедрения. И, собственно, рассмотрим 1-й процесс это планирование по планированию процесса разработки. Безопасно программное обеспечение. Ну и в конце ещё немножко дополнительных материалов, ссылочек. Презентации потом будут выложены. Соответственно, там можно будет потом по ссылкам походить и познакомиться. Итак ещё.
01:20:00	Участник 1	Немножко о цикле вебинаров хочу сказать. Смотрите, как интересно сегодня получилось то, что пришёл гость, который прямо стоял у истоков, и вы там и там, и 16-го, о 16-го года, и 24-го. И я думаю, если а мы хотим так делать, будем приглашать ещё гостей. Это будет очень интересно. Поэтому если, скажем, открытые к общению, к сотрудничеству и так далее, если у вас какой-то там процесс интересует, пишите нам, мы обсудим. Может быть, мы превратим вас в качестве гостя или ещё какой-то формат. Или, там, может быть, круглый стол сделаем, ещё что-то. В общем, мы будем.
01:20:35	Участник 1	Так сказать, рады. К разным видам какого-то совместного проведения можно это будет пообсуждать. Соответственно, пишите, окей, Виталий, что-нибудь добавишь про это. Не хочу сказать, что 25 вебинаров мы с тобой хотим. Не нет, но гости будут, доклады будут. Мы должны сделать. Это серия Венаров. Интересно, да? Потому что если мы только вдвоём будем, это будет даже просто мы и устанем, и скучно будет станет. Там одно и то же. Как бы одни и те же. Так что, конечно, мы будем приглашать интересных гостей. Аантана Падаяна я лично приглашу. Мы постараемся тоже, чтобы он выступил нашим. Я не.
01:21:10	Участник 1	Обещаю, потому что очень занятый специалист, который указали. А, собственно, рост 569392024-го года, название Разработка безопасного программноееспечение, дата ведения конец 2024-го года. Ну, собственно, тут на этом и всё. А подробно то мы разбирать это, как бы, будем как раз много-много. Поэтому идём дальше. А по область применения, собственно, только зачитаю а настоящий стандарт устанавливают общие требования к содержанию порядка выполнения работ, связанных с созданием безопасного правного обеспечения и устранением выявленных недостатков, в том числе уязвимости. Ну, это такое прямо вот, что это такое? Надо на всякий случай.
01:21:50	Участник 1	Сказать, да, там процетировать. Ну и, собственно, дальше по пойдём. А начнём мы опять в немножечко вернёмся к к Гостсту 16-го года, да, мы про неё сейчас уже много рассказывали, но ещё какие-то моменты я отмечу всё-таки. А вообще почему? Вот, собственно, причины, да, там там были, как уже было озвучено, определённые, скажем так, вещи, которые можно улучшить. У истоков стояло компаний Ишеон и, естественно, тяжело было объять. То есть они проделали огромную работу, учли различные замечания и так далее. То есть он невозможно сразу объять необъятное. И с, естественно, за годами появлялись какие-то пожелания к стандарту.
01:22:24	Участник 1	Какие-то предложения. То что-то в нём было или не подробно, да, расписано. Хотелось как-то подробнее это видеть или просто что-то не упоминалось. Ну, например, отсутствовала пункт по технологиим Позиционный анализ. То есть это регуль, та вещь, которая, в общем, то может сказать, с какой обычно даже начинают. В общем, то внедрение рбо по. Потому что самое понятное, да? Там мы берём какие-то библиотеки, и надо следить, если в них уязвимость по появляется там. Теперь это, как бы, про ваша проблема. Потому что если вы используете библиотеку и там уязвимость, это, значит, ваша уязвимость и нужно.
01:22:57	Участник 1	Отслеживать и обновлять всё это. Вот. А, да, сейчас. А в госте 16-го года этого как просто это не упоминалось. Что там, может быть, подразумевалось где-то, но не было прямо написано, что это должно. А теперь это пряморя отдельный процесс. Виталий, да? Хочу сказать, что Стек России неоднократно а заявлял я считаю, эту фраза 1 из тоже ключевых наших серий вебинаров, а всё, что вы притянули, всё, что вы себе взяли в ваше программное обеспечение, оно теперь ваше родное, и вы за это отвечаете. Поэтому вот тоже коллеги, давайте про компенционный анализ про это забывать не будем. Спасибо, например.
01:23:37	Участник 1	Как-то нечётко было про процесс непреорывной интеграции CI/CD, ну, то есть, как бы, подразумевается, что это должно и это обязательно. Но не было как-то описано, да? Недостаточно конкретизация некоторых требований. Ну, про это тоже уже говорилось. Вот, теперь это всё более разложено. Так, дальше на там. Это там что требуется. Например, теперь в новом Госте там расписано, что вы должны там выбрать что-то, вы должны регулярно анализировать, да? Там, то есть что там не обязательно. То есть провести ревизию, да? Там какие? Что именно вы будете защищать. Например, не, не было по, я не знаю там.
01:24:14	Участник 1	В тот момент существовал этот термин или нет? Но в старом Гостсте то нет термина поверхноности атаки. То есть в новом госте есть и определение, и этот термин используется. Естественно. Тоже важная вещь. То есть потому что невозможно, как бы, разработка рбпо это другре удовольствие в том, так или иначе. Ну, в смысле, что нужно тратить силы, время на всё это. Нет смысла одинаково в тщательно скажем, подходить ко всему коду, да? Там, потому что понятно, что где-то определённые будут вектора атаки, да? Там, в каких то местах. И надо там то больше всего потратить на анализ, да? Там.
01:24:49	Участник 1	С кон. Что это нам наибольшую пользу принесёт, мы постепенно это разберём в следующих вебинарах, когда дойдём. Просто я просто хотел показать, да, там, что вот такие вещи, которые они однозначно даже используются в любом случае, но они, как бы не упоминались просто. И поэтому как раз и возникла эта потребность какие-то вещи более конкретизировать и уточнить. Ну, Виталий, если, кстати, у тебя что-то будет сейчас добавить, говори. Но я сейчас уже заканчиваю вот этот раздел. Вот, например, там не было он про Бахбаунте. То есть, да, там это сейчас популярная методика. Давайте мы как кого то пригласим.
01:25:22	Участник 1	И он поищет, например, Бахи там, да? Там уязвимости, как бы, понятно. Совершенно работающий процесс. Но, опять-таки, его нет в новом госте он появляется. То есть и вот такие вот разные вещи. Кстати, вот здесь вот я ещё хотел сказать, почему, возможно, вот, с слово. Ну, моё мнение про почему процессы, а не меры? Возможно, хотелоа сделать акцент, что нужно именно постоянно вот это вот было, потому что иногда какие вопросы задают, на мой взгляд, неправильные. То есть а можно ли приобрести лицензию на, там, на какие-то продукты? Там, динамический статический анализ, например? Нам на там 3 месяца.
01:25:57	Участник 1	Почему? Потому что мы хотим выполнить, провести меры, там, по анализу кода, там, да? Там и, там что? Всё сделать и, там вы выпустить релиз. Но это неправильный подход, потому что такие инструменты они должны применяться регулярно. То есть это должен быть процесс. Ну, к. То есть как? Какой смысл? Да? Там что-то 1 раз там сделать, да? Там это и должно быть регулярно. И как раз вот это вот, может быть, слово процесс, да? По мне, ну, по мне должно подталкивать людей как раз именно строить непрерывную вот эту вот вещь. И в свою очередь это позволяет более.
01:26:31	Участник 1	Как я понимаю, просто выпускать обновление. То есть потому что мы уже, как бы, переходим от, там, сертификации какой-то кон конкретной там, да? Там, версии к сертификации процесса. И в рамках этого процесса мы легко можем выпускать обновление. Возможно. Вот, это было отчасти причин, почему там про процессы больше. Виталий, как ты считаешь, Моло это быть причиной? Иль я придумал? Я я честно, не готов дать комментарий, но я говорю, вот одно изменений, которое, вот, я, Виталий, тоже озвучил, что, действительно, ну, разработчики залобались, когда, вот, проект Национаральный стандарт смотрели 24-го года, кстати, вот, в той папке, которой.
01:27:08	Участник 1	Мы будем предоставлять доступ в слушате вебинара там проект Национальные стандарты тоже мы даём. И вот он, на мой взгляд, более дружелюбн и понятен всем тем, кто его читает. Вот, по сравнению с Гостом 16-го года. Окей, немножко про структуру нового хоста. Он и там содержание. Смотрите, во-первых, ну вот теперь стал большой список разработчиков, то есть разные. Большее количество компаний поработало над стандартом, и, соответственно, это привело к тому, что у него. Ну, он вот был такой, очень легко читать, на самом деле, достаточно чёткий состоит он из 5 отделов. Мы прям сейчас эти 14 раздела быстро.
01:27:46	Участник 1	Пройдём там, на самом деле, потому что сам самый суть, в общем, на самом деле, в 5-м разделе, где эти 25 процестовов описаны, то есть 1-й у нас раздел в 1-ю часть роста это про область применения. Там всё это фактически просто анотация про рост. Там несколько абзацев, Всего 2-я это нормативные ссылки, там отсылка всего к 3 другим ростам есть тоже. Про это уже говорилось. То есть там совсем тоже коротко. Есть 3-я часть, где термины, определения, в том числе, вот, новые термины появились такие как на то там, поверхност оттаки. Вот, часть из этих те, тер они.
01:28:24	Участник 1	Перешёл из каких то других было гостов. Ну, соответственно, можно пойти и почитать их в стандарте самом. Вот-вот, четвертаяя часть как раз она описывает, как подходить к стандарту. И здесь важная вещь, что подчёркивается именно, вот, как раз это там вот, ориентация на процесс, да? Там что значи в стаявке? А общие требования к разработке безопасного в виде, вот, описание процесса. То есть там вот это прямо вот выделено, да? Там что? Напра в ориентация на вот эти вот регулярные. Вот. Причём там не делается хорошо сделано, не в описывается какая-то конкретная модель жизненного цикла по. То есть.
01:29:01	Участник 1	Это Хост понимает. Ну, тонее разработчики хос понимали, что когда его писали, что мир он раз, для по по-разному может быть построено. Там, Аджайл не ажайл ещё там у всех по-разному и не загоняется в какие-то рамки. Можете, как бы, по-разному делать. Но вы должны в рамках своих вот этого, как у вас построен процесс уже разработки, внедрить дополнительные процессы или усовершенствовать как, какие уже существуют, чтобы, собственно, а обеспечить безопасность вот так. И, соответственно, будет ещё ГОСТ выйдет защит. Эта информация, разработка безопасного обеспечения, методика оценки уровня внедрения процессов разработки безопасного. План обеспечения есть там.
01:29:41	Участник 1	План у Ссттека всякие даты, я не знаю, приблизительно плюс минус он где-то в конце 2025-го или до 26-го года появится. Соответственно, там можно будет уже познакомиться, оценить, да? Там, где вы сейчас находитесь, да? Там и куда вам идти? Там в 1-ю очередь. Причём, вот этот вот хост, да? Там, 56939, он как раз ссылается на это хот. Что это отдельму хостм будет? Вот, оценка соответствия реализации процессов. То есть в отдельный хост вынесе. Вот. Ну и, собственно, ка мы подбираемся к самому, так сказать, основному 55-й части. Это.
01:30:16	Участник 1	Про 5-й процессы разработки безопасного программ обеспечения. Они все построены зёрстска по 1 принципу. То есть там прямоям и сначала цели, требования к реализации и артефакты реализации. То, что все вот эти про, вот, описание построены по единообрази, на самом деле, очень упрощает восприятие чтение. То есть стандарт, да? Ну, относительно, да? Там что? Если может, насколько сказать, прогос, да? Там он легко читается. То есть и всё понятно. То есть большое спасибо разработчиков, кто принял его участие. А им удалось его сделать, так сказать, скажем так, через него не надо продираться, он может просто прочитать и выписывать его фактически.
01:30:52	Участник 1	Просто себе как чек лист того, что нужно делать. Ну, собственно, артефакты реализации это есть какой-то своего рода. Конечно. Там они ещё разворачиваются, ещё какие-то пункты. Ну, это прямо вот чеклист такой можно идти и смотреть, что есть, что нет, что внедрять. Вот, кстати, там Виталий потом ещё тоже скажет, наверное, про это то, что они тоже там за занимается, помогает такие вещи нам делать отчасти. И какие-то у них есть наработки. Вот. И. И. Да, ещё что в старом, точнее так по в в проекте Госта 56939. Вот, Виталий мне подсказал. Вот.
01:31:29	Участник 1	Этот слайд вставить. Была ещё табличка на тему того, что поменялось там, что там в старом, как бы, в новом госте такой диф можно вот этот вот скачать. Ну, точнее мы даже на его прикрепим. Я думаю, Виталий его прикрепит, вот эту вот ссылочку посмотреть, да? Там, в конечном госте этой таблички нет. Ну и, возможно, там что-то чуть-чуть ещё поменялось. Но, соответственно, можно зато в проекте это посмотреть. И это, возможно, вам поможет. Если вы хорошо там знакомы с 16-м Гостм 16-го года, соответственно, вам будет чуть легче понять, быстрее там, что там менялось. Так, да, вот.
01:32:03	Участник 1	Собственно, да-да. Вот эта вот табличка и есть. А в текущем Госте, который 2020, четвёртомого, там есть приложение, а где, собственно, тоже по отказывается как начать, собственно, этот процесс безопасного, безопасной разработки. Всё так. Если, Виталий, у тебя нет какого-то сейчас комментария, мы, собственно, давай перейдём к актуальности, ок, здесь. И здесь как раз я тебе хотел слово передать, про актуальность поговорить, да? Ну, я хотел сказать, что, вот, по той ссылке, которую я сейчас скинул, ещё будет ссылочка, которая будет распространять в наших телеграмм каналах. В том числе я положил план работы стеэк России, а?
01:32:43	Участник 1	Как раз вот, по работе над этими гостами, в том числе там вы, коллеги, увидите очень много ГОСТ, которые запланированы в этом году. Именно Стек России планирует закрыть именно по безопасной разработке. Там и про композиционный анализ, там и про динамический анализ там. И, возможно, до добьют, наконец. Ну, как добьют? Нельзя так говорить. Доделают и утвердят ГОСТ в какую-то рабочую версию по руководству, по безопасной разработке. И даже а такой гос терминами определения. Вот. И и в том числе, кстати, вот то, что Андрей сказал проект национального стандарта, где есть вот это приложение, а с табличкой тоже всё.
01:33:19	Участник 1	Это по ссылочке, Коллеги, можете забрать там всё. Вот. И теперь, Виталиях, прошу тебя продолжить и, так сказать, объяснить всю суть и важность вот этого момента. Колле, коллеги, спасибо большое, Андрей. Я хотел сказать, что, действительно, ну, стек точно однозначно. И я даже как-то не знаю, наверное, никто не сомневается в этом. Кто сомневается? И надеюсь, сейчас я буду убеждать в обратном, что во всех приказах, вот 239-й, пожалуйста, версия приказа, точнее новый 17117-й, который вступит с 1-го марта 26-го года, тоже соответствующие пункты по безопасном разработку тоже есть. Поэтому коллеги, как сказал Виталий.
01:34:10	Участник 1	Вриницы что? Ну, в основном, да, Посыл именно Те компании, которые достигли определённого уровня зрелости, а разраб безопасную разработку внедрять и это помогает им даже, может быть, повышает стоимость разработки, в конечном итоге уходить от определённых рисков и деньги в итоге экономить, да? За счёт в том числе и снижением рисков, которые связаны с какой-то какой-то утечками, зломами и компрометациией пользовательских данных, например, да? И то мы сейчас все этим озабочены, чтобы программное обечение стало безопасно. Вот, в общем, как бы, я думаю, что материал достаточно в сети. Я думаю, что все те, кто сейчас присутствует, максимально погружены.
01:35:00	Участник 1	В актуальность этих и процессов, и внедрения безопас разработки. Поэтому давайте, Андрей, с вами поговорим насчёт 1-го процесса, наконец то, да? Мы до, добрались до него. А планирование, процесс безопасности разработки. То есть с чего начинаем, да-да? Что у нас будет? Вот это интересный пункт. И на самом деле, стоит начать с такого, ну, с такого момента, что на, конечно, внедрение рбпо это дополнительное увеличение стоимость разработки. То есть по некоторым источникам говорится о том, что это стоимость увеличится там на 1015 процентов. И наибольшие расходы времени, сил, ну, понятно, будут на этапе внедрения, потому что потребуется приобрести.
01:35:42	Участник 1	Какие-то инструментальные средства, собственно, потратить время на, там, планирование и так далее. Ну и потом поддерживать всё это, так сказать, во времени, там, да? Там все эти процессы, чтобы работали. И на самом деле, 1-й пункт очень важен, потому что он под подразумевает планирование и иззыскание ресурса на то, чтобы это внедрить. То есть хост своего рода является, скажем так, единым язык ком между исполнтелем и, там, и с внутренним или внешним заказчиком. Потому что есть всегда Саблаз сказать ну, смотрите, давайте мы теперь будем делать рбпо. Давайте, вот, всё то же самое, вот. Но только теперь у нас.
01:36:23	Участник 1	Рбпо пусть будет. Ну, так, на самом деле, не получается. То есть это. Вот. Ну, так это аналоги простая. Вот, мы не хотим, чтобы, там не знаю там, на за, там, на завод мог зайти, там кто угодно. Ну и понятно, нужно там поставить какой-то там забор, да? Там и сделаете пропускной пункт, где будет там сидеть человек, который там будет пропускать, не пропускать. И это понятно, да? Там что это бесплатно, как бы, не не получится сделать. Вот. А когда и речь проходит про разработку по. То есть как в, кажется, можно просто давайте вы эти сдел будете.
01:36:52	Участник 1	Делать как-то более аккуратно, да? Там там что-то почитаете книжки, там и у нас будет безопаснее. Нет, так это не сработает. И расписывая как раз в виде вот этого плана, да? Там того, какие там процессы, например, отсутствуют, или какие процессы надо доработать, кто за них будет отвечать, какие продукты надо это приобрести, какие там должны, допустим, там какие-то должности появиться, что должны появиться, опять-таки, какие-то системы учёта, например, там, доступов, там и так далее, и так далее. И когда всё это, как бы, всё это составится, будет понятно, сколько ресурсов нужно там и там.
01:37:29	Участник 1	Времени денег потратить на это. И это такой, универсальный язык. То есть он, как раз, как бы, совместит, там фантазии с реальностью, на самом деле. Потому что будет понятно, что вот это чтобы всё сделать, нужно заложить определлённый бюджет, например, там, на следующий год. Вот. И это, на самом деле, как бы, он полезен всем. То есть это он полезен, скажем, руководителям, чтобы не летать. Где там? Или заказчиков каких то там фантазиях, да? Там, что это мы сейчас просто так сделаем, да? Там. А это полезно разработчику, ну, там, со стороны разработки или, там, для внешнего ка заказчика подготовить.
01:38:00	Участник 1	Да, там такой документ можно, вот. А чтобы показать, да? Там что? Какие будут требования? То есть Хост помогает быть таким универсальным посредником, ну, или как скажем, да? От чего оттолкнуться? И, собственно, вот как раз 1-й пункт он такой, экзистенциональный о том, что будет Фнеция, бпо или не будет? Потому что надо всё спланировать и оценить свои ресурсы. То есть вот так вот это можно сверх уровня а рассмотреть. И, собственно, Си с него и надо начинать. Вот, собственно, и цели. Смотрите, 1-го вот этого процесса это обеспечение потребности в ресурсах, необходимых для реализации процессов разработки безопасного пола. Вот.
01:38:37	Участник 1	Видите, обеспечение это ресурсов, то есть ре. Про ресурсы идёт речь. Вот. Ну и дальше идёт что там? Подготовка, планировани, определение области применения процессов и так далее. То есть вот такая вот мысль Виталий, как ты считаешь, насколько такая вот такое аналогия подходит? Или, может быть, у тебя есть какая-то другое на тему вот этой стоимости? Почему это важно? Ну, 1-й раз о стоимости я слышал в твб форуме 24-го года. Это был 1 из популярных вопросов из зала тогда задавали. Действительно, цифра, а представитель реальных представителей команд том, что это примерно 1520 процентов. Я тогда вот.
01:39:18	Участник 1	Как бы это услышал. И, действительно, я понимаю, что да, примерно такие цифры и должны закладываться. А скажи, Андрей, а про вот этот инвентализацию, процесс разработки сейчас рассказать или попозже немножко? Я просто так вот, логи нашего поислования это будет, это ближе к концу. Ну, можешь сейчас, в принципе, на самом деле. То есть мы просто сейчас расскажем, а дальше пойдём. То есть, ну, давай про планирование. Правильно же говорим? Мы уже, да-да, уже, да-да-да, да-да. По пока слово меня скажу что-то. Ко обращаю внимание, что в Госте получается это, вот, в действующем в Госте 20.
01:39:53	Участник 1	4-го года стандарт национальном стандарте выражение а оно называется ин инициализация процессов разработки безопасного программного обеспечения, а это первоначальная реализация. То есть это цели является оценкой готовности разработчиков к внедрению процессов разработки безопасно по текущего статуса внедрения. Вот, обратите внимание, я считаю, что это очень важно, потому что все те, кто внедряет процессы без разработки, они хотят, действительно, вот, как Андрей сказал правильно, правильно сказал, отметил, что понимаать, сколько это стоит? Если, вот, брать методологию наших пар партнёров, коллег, использовать техноджиз, их такая методология, да? Тоже по ссылке я вам разместил, они говорят вот о такой стадии, как называется Прист.
01:40:42	Участник 1	Пристеййж, Идеэль, процесс планирования, да? И как раз тоже при Воврека, при, как бы, прохождении этой стадии, в том числе 1 из ин инициатив называется Определение текущего целевого состояния, определение перечня, там внедряемых практик, там, ну, в дальнейшем уже, там раз, разработка дорожной карты и так далее. Поэтому планирование, да? Давайте вот это слово как-то так почувствуем, да? Что такое планирование? Хочу знать, что делать, в какие сроки делать, за какие деньги делать и кто этим будет заниматься. В общем, то. И, в общем, то можно знать это про сегодня можно за неделю, можно за месяц, за квартал, за.
01:41:23	Участник 1	Полгода за год, там перспектива 3 года, 5 лет и так далее. Поэтому вот этота задача надо решать. И не так всё просто. Вот. А потому что, вот, 1 из моментов таких достаточно, а непростых, на мой взгляд, да? И вот этот вопрос был в своё время нам задан, когда был заказ на аудит, проведение аудита безопасной разработки у 1 крупного, 1 крупной компании. Это, вот называется у коллег это тиражирование, практиинг безопасной разработки. То есть если разработка в компании разная, разные продукты, разные проекты, а есть подрядчики, то и нет денег сразу везде делать всё безопасным, внедрить все процессы.
01:42:08	Участник 1	Внедрить новые рабочие места, новые должности, нанять сотрудников и всё это вот инструменты. Работа. То есть как нам определить, где оно первоочередное, где оно? В второстепная. И вот это всё как раз очень важно, Андрей, да? Соответственно, там 512 это требование к реализации. Ну, здесь не очень интересно. Там, собственно, это можно почитать в Гостстие. Давайте чуть-чуть на по пройдёмся по артефактам, потому что артефакт это, собственно, самый, вот, как тот самый Чеклист, да? Там, который из которого можно делать так, что там должно получиться, например, перечень процессов разработки ро пи реализованных и не реализованных разработчиков. То.
01:42:50	Участник 1	Есть. Смотрите уже на. Для начала можно отталкиваться от того, надо провести, так сказать, внутреннюю, как бы, посмотреть, а что уже есть. То есть, возможно, какие-то процессы уже существуют, просто они как существ не осознанно там, да? То есть у вас уже там построено, например, там, обучение сотрудников, у вас там есть матрица компетенций и так далее. У вас уже это делать. Возможно, там чуть-чуть её надо поправить, добавить имм там как какие-то вопросы безопасности. А, возможно, у вас вообще нет этой, как бы, процесса. И тогда вам надо его там выстраивать заново. Возможно, вы там используете.
01:43:16	Участник 1	Там статический, динамический уже анализ. И надо только уточнить, там, допустим, там там это вы что именно там, да-с, него делаете? Вы там именно переменных некорректно ищете? Или, всё-таки, допустим, там то, что называется уно, статиический анализ, там критические ошибки выявляете. Вот, возможно, у вас уже что-то есть и, соответственно, вы сможете понять, да? Там. То есть какие? Какой процесс можно оставить, какой процесс можно доработать? Какие процесс надо заново делать? И сколько это будет стоить? Кто за это будет отвечать? Там, кого там, да? Возможно, там там на штат пополнить, там, или кого то из кого?
01:43:45	Участник 1	То из людей выделить на это вещи. То есть, да, там аудит такой вот того, что происходит. Вот. Ну и, соответственно, дальше это используется уже для дальнейшего, да, там, каких то решений, да? Ну, собственно, в плане, в плане по плани, про того, как будет происходить планирование, говорим. Опять-таки, вот, результаты анализа потребности в ресурсах необходим для реализации процесса разработки безопасного по. Вот, могут содержать оценочные показатели в материальных илилю такскихих ресурсах. Дляждого реализуем. Мы планируем к реализации процесса разработки Безопас. Очень важный пункт, на самом деле, да? Там прежде чем что-то, собственно, там начинать про, заниматься рбпо.
01:44:22	Участник 1	Надо оценить. А вообще, как бы, чт то для этого нужно? И чтобы. То есть, скорее всего, это будет не быстро, да? То есть если у вас вы там только это начинаете делать, а раньше никогда не занимались, скорее всего, у вас очень многие процесс отсутствуют. И, конечно же, надо. Как это? Начать пе с 1-го процесса, да? Там, с планирования посмотреть и оценить, там, заложить бюджет на следующий год, там, да? Там, вот, он в следующем будет. Там следующий, например, процесс. Это про обучение, да? Там. То есть если у вас сотрудники никогда про это не слышали, да? Там.
01:44:53	Участник 1	Нужно какое-то количество людей обучить, там, к кому, то каким то общим вопросам. Если у вас там создается отдел безопасности Не-а, Сода, нужно создать Отдел безопасности, их обучить более, так сказать, серьёзно отправить их наное обучающие курсы Моском, например, да? Там ещё там что-то придумать. Вот. Потому что понятно, что, возможно, нет смыс. То есть как одинаково, скорее всего, бу какие-то выделенные люди, которые должны более глубоко погрузиться в тему или понимать и, как бы, с точки зрения документации ГОСТ прочитать и так далее, да? Там потому что как не непонятно, да? Там кто-кто то.
01:45:26	Участник 1	Должен понимать, что происходит там, да? Возможно, обратиться к консультации, к кому то. Вот. То есть вот такие вещи. Вот. И вот это вот с этого всё начинается, то есть с планирования. То есть без планирования дальше, скорее всего, будет непонятно, как действовать. Вот. И дальше опятьется, что, вот, план развития процесса разработки безопасного по должностия, порядок, очередность, да? Там, ну, понятно, что 1-м это 1-й пункт, потому что надо спланировать, возможно, 2-м. Как. Ну, скаже, ну, с внае там будет последовательно 2-м. Это надо обучить людей. Потому что если у вас нет специалиста, который понимает ст, который не понимает.
01:45:57	Участник 1	Требования не понимаете, что там чем динамически. Там, вот, статический анализ отличается там, да? Там и какие инструменты надо использовать? Ну, ладно, это я уж такой, простой какой-то вариант. Ну, какие-то более глубокие моменты. Вот, его надо научить, да? Там, чтобы у вас появился специалист, ну, или привлечь как со стороны каких то консультантов, которые вам помогут, собственно, разобраться, да? Там что и как выстраивать и, собственно, дальше строить там, да? Там что наиболее важно? Какие для. Вот, для вас наиболее болезненные точки какие-то? Ну, часто, например, начинают с композиционного анализа, потому что проще всего и он.
01:46:29	Участник 1	Наиболее, скажем, пр чётко выявет уязиммость. То есть, да, там это понятно. Вот, может быть, по-другому там, в каких то организациях, что по зависит, опять-таки, от того, для чего вы это строите процессы. Вы строите их для себя просто чтобы повысить качество. Это возможно. Вам не все процессы нужны, а вы просто должны там, вот, где-то у вас какие-то места, да? Там, где хочется улучшить. А если вы идёте на сертификацию, естественно, вы должны подойти как-то более комплексно к этому всему, посмотретьеть всё и так или иначе эти пункты реализовать. Вот, Виталий, у тебя есть.
01:47:01	Участник 1	Как какие? Тоже я сошлюз. Тут вот, опять же, на удобный очень методологию коллег, а они говорят о том, что среди возможной организационно распределительной документации, которая а при на этапе планирования может быть выпущена и разработано, это, например, политика безопасной разработки, то есть документ, регламентирующий деятельность организации в области обеспечения безопасности разрабатынного программного обеспечения, где детализируются процессы, регламентируются какие-то практики, определяется про процедуры выявления своей уявимости, ну и так далее. А потом а категоризация по как раз это та самая методика ранжирования соответствие, ну, по уровню критичности, а тех разработок, которые ведётся в организации в дальнейшем, например, может разрабаттыаться.
01:47:48	Участник 1	Такой документ как регламент без запаса разработ. Ну и вообще, в принципе, документы, которые, в общем, то разъясняет и как, действительно, документирует документирование, производит документирование процессов. Вот. Ну и, естественно, те, которые описывают функции контроля за соблюдением этих документов и их актуализации. Поэтому здесь вот так бы непрой вопрос. Кстати, у нас пока мы, Андрей, с тобой общались, у нас такая у нас образовалась достаточно серьёзная Боталия и переписка в чате, в том числе здесь как раз и про внедрение, и в том, что вопросы задаются. Например, вот, Владимир задал, да? Что если в организации полностью отсутствует какой-нибудь процесс?
01:48:28	Участник 1	Да, Сиэсн, например. То есть как обучать? Кого обучать? Какие-то пилоты, да? Это. Ну, это вопрос такой, непростой. И, в принципе, мы сейчас как раз, вот, рассказывая про планирование, мы в том числе и про это и и пытаемся ответить на этот вопрос, да? Что когда нет ничего, как с чего начать? Куда бежать и что делать? Я думаю, что, конечно, надо вот те документы, которые сказал, попытаться их отработать, а запланировать внедрение процессов. Но, опять же, я рекомендую какую-то инициативную группу и такой опыт, кстати, у нас есть, направляет к нам на учёбу. И мы вот таких.
01:49:04	Участник 1	Вот. Ну, погружаем их безопасная разработка. И появляется на предприятии такие идеологи и венгелисты безопас разработки и которые учат уже всех остальных, в том числе подсказывают руководителю, то это тоже хороший вариант, Андрей, да-да. Кстати, хорошая мысль, действительно, да? Если не интересвестно, с чего начать, нужно начать. Ша появились люди, которые знают там, да? Там мы были, помогут это начать, собственно, делать. Идём дальше. Ну, собственно, ГОСТ Естеств, мы не будем прямо сейчас всё в зачитывать. И даже интересно сейчас будут ещё вопросы какие-то пообсуждать. Собственно, в гости можно всё это почитать повнимательности повнимательнее и, собственно, разложить это.
01:49:43	Участник 1	На составные части, которые, собственно, реализовывать Тор. И, вот, например, это какие-то примеры, да? Там как могут какие-то элементы выглядеть, да? Там можно составлять какие-то планы, да? Там что? С чего начать? То есть разложить 1-е. Что вы должны сделать? Это разложить вот это всё, что у вас есть, учёт провести, да? Там, сопоставить списки, потом посчитать, возможно, какая стоимость этого будет, и начать постепенно всё это реализовывать. Виталий, что-нибудь добавишь или. А дальше иду. Вот, да? Ещё такой момент, просто такая подсказка, куда ещё можно посмотреть? Потому что, вот, ну а как вот с этими?
01:50:20	Участник 1	Всеми че чеклистами работать, потому что там Excel файлы заводить или как это вообще всё непонятно, да? Есть специльно по такая таких системмы на того как Секьюрит, например, да? Там который позволяет разложить процесс по безопасной разработки, как бы, на компоненты и условно там, как бы, ну, как-то всё это визуализировать, да? Там насколько у вас там процентов что-то сделано, галочки ставить, задачи остаставлять и так далее. То, может так на такие системы взглянуть, чтобы, как бы, не самим, как бы, с 0 всё это делать, а от чего-то оттолкнуться просто как вариант, например. То есть я.
01:50:49	Участник 1	К тому, что какие-то существуют вещи. То есть вам не обязательно это, как бы, что значит теперь вам надо какие-то там 100500 документов, ворд там и Excel табличку? Не, нет. Есть способы автоматизации вот этого всего, потому что это, ну, много. А так, дополнительные ещё материалы будут. Значит, ссылочки, некоторые вещи. Там, например, там там вот там записи. Ну, вот, например, как раз вот стб Форума, например. Там ещё там интересные подборки из самого свежего интересного. Это, вот было недавно прямоям Бук, буквально на днях проходила какой-то такой круглый стол Разработка безопасного парам обеспечения абпо. Вот.
01:51:26	Участник 1	Ссылочку привожу. Очень рекомендую зазглянуть, посмотреть. Многие какие-то вещи будут, может быть, интересны и полезны. Там многие вопросы обсуждались. Вот. А, собственно, как бы мы закончили, да? Там, собственно, на начало положено, теперь нам предстоит ещё 24, а то, может быть, и больше. Там если какие-нибудь круглые тоже столы будем делать Остана, это, соответственно, приглашаю, как сказать, посмотреть на поб студию. Мы до Поовой студии тоже нибудь ещё дойдём. Про статический анализ, когда будем выводить. Или из каких то там по качеству кода. Соответственно, мы делаем инструмент статический анализ для поиска ошибок в коде на сиси плюссутств.
01:52:03	Участник 1	Шак Джау и, вот, промо кодик для того, чтобы скачать на месяц лицензию и попробовать. Вот. И ещё, соответственно, Виталий, ты про свои курсы, так сказать, расскажи, что вы предлагаете. Спасибо, Андрей. Да, действительно, как вот, даже я смотрю, среди вопросов Игорь задал вопрос по обучению Москвы. Когда будут курсы? Они у нас постоянно идут, а просто сейчас коллеги, летний период и, в общем, то смвать группу там они прямом так не всегда складываются эти группы особ говорю, особенно сейчас вот, в связи с отпусками и, в общем, то уч. Учить в осенний, весенний зимний период гораздо, как бы, легче.
01:52:45	Участник 1	Люди на местах. Вот. Но при этом, как бы, ну, менеджеры работают, поэтому коллеги. Тем более, если двадцатьцедневный курс вы имеете в виду, это самый большой, который у нас есть, курс, который охватывает вообще всё, что можно. И там много практики, много партнёров в партнерских дней. Поэтому я думаю, что всё будет. Всё будет. Всё это есть. И как, конечно, проводим. И просто ну, подайте менеджеру заявку. Я думаю, что они отработают. Вот. А по поводу вот тут мне понравилось комментарий, что мирового Конста, Константин написал Иванов мирового. Опыт подсказывает, что в рамках обучения вводится институт секьюри. Че Чемпион чемпионов.
01:53:23	Участник 1	Как практическая реализация? Действительно, планирую. Надо понимать, да? Что как? Знаете, как говорят? Чтобы захотеть жить по-новому, надо понять, что в текущей версии твоей жизни или деятельности, ну, быть невыносимо. Что ты хочешь уже изменить. Ты находишь тех, кто тебя, те, кто уже это сделал, тот, кто я, тебя научит этому. И, в общем, то переходишь. Вот, надо применить усилия. Конечно же, без этого не получится, чтобы оказаться вот в этой точке. Вот. Поэтому я думаю, что между совсем не внедрять эти методологии и внедрить полностью, да, до достаточно серьёзный путь и временной, и с точки зрения финансовых затрат.
01:54:08	Участник 1	Да, но как бы, давайте, всё-таки, такой. Знаете, в начале наших серии вебинаров определимся вот с этим вот таким фундаментом, да-с? Этой фразой, что, как бы мы не. Давайте не будем доказывать уже больше не ссылаться на регуляторов, не какие-то приводить мировые практики, что, ну, другой разработки уже не будет. Я думаю, Андрей тоже это подтвердит, что разработка сейчас через безопасность, она вот только такая. И другой просто уже мир пользователи, клиенты, заказчики просто они не воспринимают другой разработки. Уже не будет коллеги. Поэтому я, да, я бо так, неж по-другому сказал смотрите, ну, неправильно вот.
01:54:48	Участник 1	Неправильное восприятие. Когда люди сплышут ГОСТ, у них сразу какая такая складывается какое-то ощущение, что хо это вот что-то заставляет что-то обязательно сделать. Не очень понятно, зачем. Да нет, на самом деле, там всё отличные и полезные вещи сделаны. То есть это понятно, что кому то там необходимо следовать. Но даже если нет там, что это прямо вот, как бы, со стороны, да? Там какой-то есть там от заказчика, например, что нужно по по есть смысл туда смотреть и брать эти практики? Там всё полезное. Кому то что-то, конечно, более актуально, кому то что-то.
01:55:19	Участник 1	Менее, может быть. Или, там с чего-то можно начать. Но стоит к этому вещь просто подходить как к полезному сборнику рекомендаций по улучшению, скажем, зрелости. Цикл, цикл программного разработки, цикл про разработки программного обеспчения, в общем, вот. И вот так вот на это взгляните. И, да, в, как бы, как этодраслеет разработка, да? Там когда-то, много лет назад там там богатый год там не очень было понятно, зачем там система контроля версии, например. Он там упаковал в архивчик зип там, да? Там версия продукта нормально, да? Там, вот сейчас это вы как-то дико, кажется, так и с.
01:55:58	Участник 1	Другими вещами. То есть в целом развитие, как бы идёт разработки по и, соответственно, всё это зарослит. Давайте немножко ещё по вопроса. Вот то вот, чем, на ваш взгляд, плохо Опенсорс для безопасности разработки? Он ничем не пох. Другое дело, просто надо понимать, Опенсорс сам себе ничего не даёт. То есть если, как бы, проблемы, которые есть в этом прое проекте, как только вы их взяли себе, теперь является вашими проблемами и вы должны в том числе об этом коде заботиться. То есть нет разницы с точки зрения рбпо ваш это или сторонний код. Вы должны его, соответственно, там обновлять.
01:56:33	Участник 1	Чтобы там у, следить за уязвимоостью, проводить его статический анализ и так далее. Да, это тяжело. Но а, собственно, что делать? Вот так читаем ещё вопросы. А что сначала, да? Сначала обучать людей, да? Потому что пока не будет людей ка до должен, должны быть люди, которые, как бы, понимают, какая-то рабочая группы, да? Там, которая, собственно, будет это внедрять всё, да? Там ещё задали вопрос по поводу экзамена и сертификатов. Да, коллеги, есть договорённость, что мы проведём в конце тест и выдадим настоящие подписанные сертификаты. Ладда. Единственное, по-моему, они будут всё к электронном виде о успешном. А.
01:57:18	Участник 1	При в чём? А том, что вы прослушали и успешно сдали экзамен по по Сереи Вебинаров, по безопасной разработке там соответств со следующими, со всеми легалями и красивыми, красивым оформлением. Есть рекомендации по книжной литературе, чтобы посчитать. К сожалению, вот там книжку какую-то, наверное, нет возможности покоать, нет такой там к книги, какой-то такой, толстоый, да? Там чтобы там рбо по. Есть отдельные какие-то книги, есть отдельная публикации, котор каждый из каких то там свою тему рассматриет. Возможно, вообще невозжно так всё это объединить? Например же, там 1 из процессов есть, да? Там функциональные тестстиироваание, но функциональ.
01:57:52	Участник 1	Тестирова это же огромная, как бы, сфера, которая может по-разному быть это реализовыно. Смотря какой проект. То есть, собственно, про 1 этот процесс. То есть, да, там функциональное тестирование, по нём можно отдельную книжку выпускать. То есть, наверное, поэтому, может быть, и нет такой подборки. Мы в свою очередь, пока буду идти вот эти вот серии вебинаров, мы будем собирать различные какие-то документы, файлы, ссылки на разные какие-то там методики, статьи и так далее. И, ну, постепенно будет всё собираться. Я по думаю, в конце потом ещё какую нибудь или статью сделаем, или ещё что-то прямо.
01:58:24	Участник 1	Попробуем всё это подсобрать. Такой в единой такой и вот такой, не знаю там, справочник. От чего отталкиваться? Там прибпо, что можно почитать? Вот сейчас, к сожалению, на данный момент у меня такого нет какой-то отсылки, чтобы прямо вот, всеобъемлющее достаточно посмотреть. Ну, есть ГОСТ, но это не то, как бы, да? Там хочется почитать развёнутое. К сожалению, наверное, нету. Дмитрий, ты что-нибудь, Виталий, что-нибудь это такое видел? Да, действительно, всё то, что мы о чём говорим, я буду стараться. А параллельно с записью видео, записью презентации буду стараться выкладывать и нормативку, и какие-то интересные статьи.
01:59:00	Участник 1	Всё то, что по данной теме будет.
01:59:06	Участник 1	Да, безопасности, це почек поставок, да. Телеграмм канал такая книжка, я видел она. А копировалось там. Поэтому я думаю, что можно найти в телеграмме её. Просто я, поймите же, не всё можем укладывать, потому что, всё-таки, за ряда книг, всё-таки, ну, авторское право оно надо приобрести официально на Озоне или, там, каких то других платформах.
01:59:32	Участник 1	Про тут немножко и пообсуждали. Ну и как-то он выходит за рамки. Всё-таки, там рбпо есть сейчас отдельная, кстати, инициатива. Там Исторан занимается и Стек там. Ну, это отдельно, как бы идёт, так сказать, направление. А обсуждается как раз дизулиторика в плане искусственного интеллекта. Вот, я просто сильно это не отслеживаю, но это там тоже от работы идут. И, видимо, какие-то будут Срени тоже какие-то документы и так далее. Это вообще большая очень тема. Но в плане Класси в рамках классического, скажем, рбпо про там ничего нет. Про и. Или то. И там, если брать про.
02:00:08	Участник 1	Хор, я Сал про статический анализ. Там тоже ничего про это нету. То есть здесь всё-таки больше идёт про классическую разработку. Пока потом какая разница, собственно, и там код написал или нет, а всё равно вы должны также за него не нести ответственность, потому что и также он может написать в сязмости вполне код. И всё то же самое. Да, и тут написали. Вопрос был про кии просто. И просто 17-й приказ. Коллеги просто кии у нас и нет. 117-й про ггиис ки это 239-й приказ, где тоже есть про бпо для прикладного программного обеспечения. Поэтому.
02:00:47	Участник 1	Давайте тоже нормативку не будем, как бы, пересекать, да-да? Соверш, есть утверждение, что, на самом деле, для небольших компаний там не 1020 процентов будет удорожаний, а то вот там 50 может быть. Но другой вопрос, а зачем в небольших компаниях? Может быть, там, всё-таки, вопрос не с рбпо? Ну, понятно, что разные могут быть ситуации, но, всё-таки, вопрос рбпо начинают заботить людей с как какого-то определённого там размера, там, размер проекта, количеств людей и так далее, да? Там, может быть, рассказываем про Групу. А если программист 1 пишет программу, что он не должен какой-то.
02:01:23	Участник 1	Бэс проект с использовать. Мне кажется, какая разница, сколько программистов всё равно. Ну, хоть что-то тут будешь это из этой методологии использовать. Может быть, чуть-чуть. Может, там где-то там твой статиический анализатор. Но вот как плагинчик там взел, студию до поставишь, например. А скорее всего, так и будет. Так и есть. Когда люди не то, что сказал там плохо то делают. Но просто там если там 23 человека, но как бы там хост натягивать как? Как это тяжело на процессы. То есть надо понимать, что там какие-то просто элементы какие-то будут браться. Не более.
02:01:51	Участник 1	Того. И, конечно, если там там в че, там, в проекты 3 человек попробовать, хост целиком затянуть там со всеми этими процессами там, да? Там, конечно, там там не не на 50 процентов удорожаний там там в 2 раза в удорожание будет. Вот, всё какое-то разумное. Эмен, как проблем проблем у маленьких проектов там маленькое количество людей, там, скорее просто развииться до какого-то состояния, да? Там, чтобы потом уже всё это внедрять. То есть там другие какие? Проблема, мне кажется, существует. Другое дело, что, может быть, в рамках большой компании какая-то небольшая команда делает какие-то такие.
02:02:21	Участник 1	Вещи. Вот это вот более реальный, наверное, сценарий. Но тогда вот это как раз большая компания должна, так сказать. Вот это, наверное, дать ресурсы на это. Ну, смотри, получается. Смотрите, если небольшая компания, она же может стать инцидеатом. Стек может стать линцезиатом стеэк она может выпустить по которыйторое будет содержать какие-то функции безопасности и и сходить за средчи информации может. Поэтому будет ли регулятор требовать у них внедрение процессов? Будет. Поэтому есть сценарии, когда и эти там 3510 разработчиков тоже по полный рост по требования попадут. Поэтому я это не включаю и.
02:03:01	Участник 1	Так что у нас ещё здесь есть? А с подвохом Вопрос по какой? А если в ООО пвс по внедрены Внед, внедрены ли процессы безопасной? Разработ? Многие внедрены, но, как бы, не всё. Ну, то есть мы не проходим сертификат су стек, потому что она не является для нас обязательной, она является добровольной и она не добавляет а какого-то преимущества. К, кстати, вот даже про это вот я недавно там писал в Телеграмм канале, да? Там. А был вопрос задавался на как раз, вот, круглом столе, который я приводил. Там спрашивали, а необходимо ли когда исполь для средств, которые.
02:03:41	Участник 1	Используются в разработке безопасного правам обеспечения. Ну, есть програм об спи, программы для создания программ. Должны ли они, быть ли как-то сертифицирован? Нет, не должны. То есть это не является требованием. Вот. То есть это не даёт. То есть мы отталкиваемся от других. Вообще, как бы, ГОСТ есть ГОСТ 712072024-го года на статический анализ кода. Это отдельный тема. Мы с ним работаем, мы с ним совместимы. Мы участвуем в инициативе стек по, так сказать, оценке статиических анализаци. Это отдельная, как бы, тематика. Вот там ещё долго она будет идти целый год, то.
02:04:16	Участник 1	Есть там другое. Там рбпо к этому оно, как бы, немножко перпендигулярно находится. А тогда у нас. Ну, если просто брать у нас многие проце процессы внедрения, у нас там есть статические анализатор разные, использут экономмический анализ. Вот. И у сотрудников у нас есть матрица компетенций, чтобы сотрудников у чить. То есть. То есть многие, как бы, элементы есть, да? Там или, например, у нас есть там, да? Там расписано, что, как мы реагируем, там, как оформляем, например, баги, когда к нам приходят какие-то, нам отписываются, да? То есть регламент реакции на то, как к мы обрабатываем входящие, какие.
02:04:48	Участник 1	То, ну там деп про дефекты нам пишут там, и так далее, и так далее. Вот. К это естеств, естественно, да? Вот. Но прямо что у нас. Но в сертификацию мы не проходили, скажем, да? Это не было так. Ну, Андрей, я смотрю вопрос. У нас уже, как бы, пошли к концу, поэтому время, по-моему, таймеру примерно 205. Мы побили все мысли, Ма, рекорды даже те, которые время, которые планировали под проведение вебинара. Поэтому давай, как бы, скажем, по заключительному слову и, наверное, попрощаемся до следующего вебинара, да? Спасибо большое всем, кто пришёл и несмотря, в общем.
02:05:26	Участник 1	Тоже поздний час, есть 2, больше 2 часов. Уже 50 человек ещё. Это очень здостско. Приятно видеть, что, так сказать. Ну, был интерес и продержались до конца. И вот вопросы ещё даже какие-то ещё продолжаются. Вот. И смотрите, наверное, всё, мы уже, да уже не сможем ещё что-то ответить. Давайте завершать, но будет ещё 24 точно. Как бы вебинар будем отвечать на вопросы, будем их коллекционировать. Возможно, отдельно что-то ещё. И из этих вопросов порасматриваем всё. Большое спасибо, Виталий. Давайте последнее заключительное слово. Спасибо, Андрей. Ну, может, какое-то мероприятие, может быть, где-то пригласим пообщаемся.
02:06:06	Участник 1	Руки пожмём и лично увидимся, посмотрим. Коллеги, значит, задали вопрос будет экзамен, как я сказал, будет сертификаты для тех, кто слушал и удачно сдал экзамен. Значит, ссылочку, я обращаю внимание, пока есть, она такая, временная, но уже что-то можно по ней взять. Всё то, о чём мы сегодня говорили, всё то, что мы как раз вот, считаем, относится к теме планирования и по истории ГОСТ 16-го года и по Проект национального стандарта и ГОСТ 24-го года тоже мы выложили. Смотрите, забирайте, читайте. Вот, у нас в следующий раз, опять же мы. Эта идея возникла только что. Честно, вы.
02:06:47	Участник 1	Были свидетелями этого экспронта с Виталией Веринице. Я думаю, что, надеюсь, сейчас мы это все детали обсудим. Действительно, возможно, в следующий раз вы увидите такой. Не скажу, что это батл будет, но действительно сравним наши подходы к обучению, безопасной разработки, о том, какой у них опыт, какой у нас опыт. Посмотрим конкурентов, пообщаемся между собой, руки пожмём. Естественно, подружимся. Мы тут не люты какие-то врагие. Наоборот, друзья, коллеги, партнеры. Поэтому приглашаю вас. Тема обучения вас, я знаю, сильно интересует, потому что, ну, в ам где ещё знаний брать только как раз на таких вот мероприятиях и в рамках нашего.
02:07:28	Участник 1	Учебного центра. Те курс, которые мы читаем. Вот, кстати, Андрей Карп, его компания тоже у нас, по-моему, целый день точно ведут. И вопрос касаемо 100 гостстатический анализ, анализатор, статический анализ и свой изучает, и продукт тоже рассказывает. Поэтому ещё подчёркива, у нас много партнёров с нами работают и обучение обч процессе обучения участвует. А так рад вас всех видеть. Спасибо большое. Очень я удивился, как в чате вы активно писали и участвовали в своих дискурссиях. Я думаю, что это здорово. Спасибо. До следующей среды. До свидания.