ГОСТ Р 56939-2024: куда уходят модель угроз и поверхность атаки

ГОСТ Р 56939-2024: куда уходят модель угроз и поверхность атаки An architecture diagram generated by Archify. 5.3 Требования · безопасности к ПО · Architecture component 5.3 Требования безопасности к ПО 5.6 Архитектура · описание архитектуры · Architecture component 5.6 Архитектура описание архитектуры 5.7 Модель угроз · и поверхность атаки · Architecture component · источник данных 5.7 Модель угроз и поверхность атаки источник данных 5.23 Реагирование · на уязвимости · Architecture component · эксплуатация 5.23 Реагирование на уязвимости эксплуатация 5.24 Поиск уязвимостей · при эксплуатации · Architecture component · эксплуатация 5.24 Поиск уязвимостей при эксплуатации эксплуатация 5.9 Экспертиза кода · ручная, по регламенту · Проверки при разработке 5.9 Экспертиза кода ручная, по регламенту 5.11 Динамический анализ · фаззинг, DAST · Проверки при разработке 5.11 Динамический анализ фаззинг, DAST 5.15 Секреты · безопасность секретов · Проверки при разработке 5.15 Секреты безопасность секретов 5.16 Композиционный анализ · SCA · Проверки при разработке 5.16 Композиционный анализ SCA 5.17 Проверка на ВПО · заимствованный код · Проверки при разработке 5.17 Проверка на ВПО заимствованный код 5.18 Функциональное · тестирование · Проверки при разработке 5.18 Функциональное тестирование 5.19 Нефункциональное · тестирование · Проверки при разработке 5.19 Нефункциональное тестирование требования архитектура + перечень целей Проверки при разработке

Что несёт каждая стрелка из 5.7

  • • Модель угроз — 5.7.3.1 и описание поверхности атаки — 5.7.3.3
  • • Перечень целей для исследований (5.7.3.4) — только в динамический анализ 5.11

Пунктир — связь без номера пункта

  • • 5.9.2.2: экспертиза «в первую очередь для модулей… составляющих поверхность атаки»
  • • Остальные стрелки — явные ссылки на 5.7.3 в тексте потребителя

Кто потребляет

  • • Семь проверок при разработке: 5.9, 5.11, 5.15–5.19
  • • Два процесса эксплуатации: 5.23 и 5.24