4.10 ГОСТ Р 56939-2016

Разработчик ПО должен создать руководство по разработке безопасного ПО, содержащее:

  • описание области действия руководства (идентификационные признаки ПО, для которого реализуют меры по разработке безопасного ПО);
  • цели организации в области создания безопасного ПО;
  • перечень и описание мер по разработке безопасного ПО, подлежащих реализации в среде разработки ПО;
  • распределение ролей и обязанностей, связанных с реализацией мер по разработке безопасного ПО, между работниками;
  • перечень документации разработчика ПО, связанной с реализацией мер по разработке безопасного ПО;
  • правила и требования, относящиеся к планированию и проведению внутренних проверок реализации мер по разработке безопасного ПО, сообщений о результатах;
  • описание действий, направленных на улучшение процессов, связанных с разработкой безопасного ПО.

При реализации компенсирующих мер по разработке безопасного ПО в руководстве по разработке безопасного ПО должно быть приведено обоснование применения компенсирующих мер, включающее:

  • изложение причин исключения меры (мер) по разработке безопасного ПО;
  • описание содержания компенсирующих мер по разработке безопасного ПО;
  • сравнительный анализ компенсирующих мер по разработке безопасного ПО с мерами, исключаемыми из состава базового набора мер по разработке безопасного ПО;
  • аргументацию, подтверждающую, что предлагаемые компенсирующие меры разработки безопасного ПО обеспечивают достижение целей, соответствующих исключаемым мерам по разработке безопасного ПО.

[из 4.10 ГОСТ Р 56939-2016]