ГОСТ Р 56939-2024: что требует ФСТЭК?

В декабре 2024 года в России вступил в силу национальный стандарт ГОСТ Р 56939-2024 «Защита информации. Разработка безопасного программного обеспечения. Общие требования». Он пришёл на смену ГОСТ Р 56939-2016 и установил более жёсткие требования к процессам создания безопасного ПО.

Разработчиком стандарта выступила Федеральная служба по техническому и экспортному контролю (ФСТЭК России). Соблюдение ГОСТ Р 56939-2024 — не рекомендация, а обязательное требование для компаний, планирующих сертификацию своих продуктов в ФСТЭК.

Разбираемся, что именно требует новый стандарт и как к нему подготовиться.

Что такое ГОСТ Р 56939-2024 и для кого он обязателен

ГОСТ Р 56939-2024 устанавливает общие требования к содержанию и порядку выполнения работ, связанных с созданием безопасного ПО и устранением выявленных недостатков, в том числе уязвимостей.

Стандарт предназначен для:

• разработчиков и производителей ПО;
• организаций, выполняющих оценку соответствия процессов разработки.

Обязательность стандарта обусловлена прямым указанием ФСТЭК. Согласно приказу ФСТЭК России от 30 июня 2025 года № 230, при сертификации процессов безопасной разработки средств защиты информации необходимо руководствоваться требованиями ГОСТ Р 56939-2024.

Кроме того, требования по обеспечению безопасности значимых объектов критической информационной инфраструктуры (КИИ) в редакции Приказа ФСТЭК России от 28 августа 2024 года № 159 дополнены новыми критериями в части безопасной разработки. Эти критерии предъявляются к прикладному ПО, которое планируется внедрить в рамках создания или модернизации значимого объекта КИИ.

Ключевые отличия ГОСТ Р 56939-2024 от версии 2016 года

Новый стандарт содержит ряд принципиальных изменений.

Аспект	ГОСТ Р 56939-2016	ГОСТ Р 56939-2024
Количество процессов	Меньше процессов	25 процессов (мер), направленных на выявление и устранение недостатков безопасности
Подход к жизненному циклу	Жёсткая привязка к модели жизненного цикла	Процессы не связываются с конкретной моделью жизненного цикла ПО
Акцент	Формальное соответствие	Учёт роста и ужесточения требований к безопасности, увеличения количества уязвимостей и инцидентов
Структура	Менее детализирована	Более глубокая детализация требований к каждому этапу разработки

Стандарт описывает 25 процессов, охватывающих все этапы жизненного цикла продукта: планирование, обучение сотрудников, формирование требований безопасности, управление конфигурацией.

Требования ФСТЭК к безопасной разработке ПО

1. Процессный подход к безопасности

ФСТЭК требует, чтобы безопасность была встроена в процессы разработки, а не добавлялась «сверху» на этапе тестирования. ГОСТ Р 56939-2024 описывает 25 процессов, охватывающих все этапы — от планирования до вывода ПО из эксплуатации.

2. Управление уязвимостями на всех этапах

Стандарт требует внедрения инструментов для:

• анализа и управления уязвимостями;
• статического и динамического анализа кода;
• композиционного анализа;
• функционального тестирования.

3. Управление конфигурацией

Ключевое требование — контроль изменений в коде и конфигурациях. ФСТЭК ожидает:

• защиту от несанкционированного доступа к элементам конфигурации;
• резервное копирование элементов конфигурации;
• регистрацию событий, связанных с изменениями конфигурации.

4. Обучение персонала

Стандарт требует периодического обучения работников в области безопасной разработки. Компании должны регулярно проводить обучение и анализировать его программу.

5. Моделирование угроз и мониторинг безопасности

Для соблюдения стандарта понадобятся средства моделирования угроз и мониторинга безопасности. Это позволяет выявлять потенциальные риски на ранних стадиях разработки.

Сертификация процессов РБПО: этапы и порядок

Сертификация процессов безопасной разработки — это подтверждение соответствия процессов разработки ПО требованиям ГОСТ Р 56939-2024.

Этапы сертификации:

1. Аудит текущих процессов. Проверка существующих процессов разработки на соответствие требованиям стандарта.
2. Доработка и внедрение недостающих процессов. Компании, у которых процессы отсутствовали или были на начальной стадии, должны их создать.
3. Подача заявления в ФСТЭК. Документы подаются в соответствии с Приказом ФСТЭК России от 30 июня 2025 года № 230.
4. Проверка и выдача сертификата. ФСТЭК проверяет соответствие процессов требованиям стандарта и выдаёт сертификат.

Пример из практики: разработчик Astra Linux подтвердил соответствие процессов разработки ПО новым требованиям ФСТЭК России. ФСТЭК переоформила сертификат соответствия № 3 от 28 января 2025 года (переоформлен 17 февраля 2026 года), подтвердив соответствие процессов безопасной разработки ПО требованиям обновлённой редакции ГОСТ Р 56939-2024.

Как подготовиться к ГОСТ Р 56939-2024: пошаговая инструкция

Новый ГОСТ потребует от разработчиков дополнительных вложений в ИТ-инфраструктуру, ИБ-инструменты и сотрудников.

1. Внедрить необходимые инструменты

Понадобятся средства:

• анализа и управления уязвимостями;
• статического и динамического анализа кода;
• управления конфигурацией;
• автоматизации тестирования;
• моделирования угроз и мониторинга безопасности.

2. Пересмотреть процессы разработки

Необходимо интегрировать требования безопасности в существующие процессы. Стандарт не требует привязки к конкретной модели жизненного цикла ПО, что даёт гибкость в выборе подхода.

3. Обучить персонал

Обучение сотрудников в области безопасной разработки — обязательное требование. Это касается не только разработчиков, но и тестировщиков, архитекторов, менеджеров проектов.

4. Заложить бюджет на внедрение

С учётом увеличения расходов на соответствие новым требованиям стоимость программных продуктов может вырасти. Особенно это касается компаний, у которых процесс безопасной разработки отсутствовал или был на начальной стадии.

Чтобы не замораживать оборотные средства на этапе модернизации, можно рассмотреть целевое кредитование для технологических проектов — FINLEO помогает сравнить условия ведущих банков.

5. Учитывать применение в комплексе с другими стандартами

ГОСТ Р 56939-2024 предусматривает применение в комплексе с другими национальными стандартами по разработке безопасного ПО, в которых раскрываются вопросы внедрения и оценки соответствия.

Что в итоге важно знать

• Стандарт обязателен для сертификации в ФСТЭК. Согласно приказу ФСТЭК № 230, при сертификации процессов РБПО необходимо руководствоваться требованиями ГОСТ Р 56939-2024.
• Новый стандарт заменил версию 2016 года. ГОСТ Р 56939-2024 вступил в силу 20 декабря 2024 года.
• 25 процессов безопасной разработки. Стандарт описывает 25 мер, охватывающих все этапы жизненного цикла ПО.
• Требуется внедрение ИБ-инструментов. Анализ кода, управление уязвимостями, моделирование угроз — обязательные элементы.
• Обучение сотрудников — обязательно. Периодическое обучение и анализ программы обучения — требования стандарта.
• Стоимость разработки может вырасти. Дополнительные вложения в инфраструктуру и инструменты могут привести к росту цен на ПО.

Если вашему бизнесу требуется финансирование для внедрения ИБ-инструментов, модернизации процессов разработки или сертификации, FINLEO помогает сравнивать условия по кредитованию для технологических проектов. А для юридического сопровождения и экспертной поддержки при прохождении сертификации доступна консультация от профильных специалистов.