При выполнении менеджмента документацией и конфигурацией программы разработчик ПО должен реализовать следующие меры:

• реализация и использование процедуры уникальной маркировки каждой версии ПО;
• использование системы управления конфигурацией ПО.

[из 5.7.1 Меры по разработке безопасного программного обеспечения, подлежащие реализации ГОСТ Р 56939-2016]

Разработчик ПО должен определить элементы конфигурации, имеющие отношение к разрабатываемому ПО, которые должны контролироваться системой управления конфигурацией ПО. Разработчик ПО должен использовать систему управления конфигурацией ПО, позволяющую уникально идентифицировать определенные элементы конфигурации.

Для организации работ, выполняемых в процессах жизненного цикла ПО, и подтверждения соответствия требованиям настоящего стандарта документация разработчика ПО должна содержать:

• перечень элементов конфигурации, которые должны контролироваться системой управления конфигурацией ПО;
• описание методов, используемых для уникальной идентификации элементов конфигурации;
• порядок использования системы управления конфигурацией ПО;
• подтверждение использования системы управления конфигурацией ПО.

Примечание - В область действия системы управления конфигурацией ПО могут быть включены следующие элементы конфигурации:

• программа (дистрибутив программы);
• программные и эксплуатационные документы;
• исходный код программы;
• программные и загрузочные модули, в том числе модули сторонних разработчиков ПО;
• инструментальные средства и связанная с ними информация;
• информация, связанная с обновлениями ПО и устранениями уязвимостей программы;
• перечень выявленных уязвимостей программы.

[из 5.7.3.2 ГОСТ Р 56939-2016]

Система управления конфигурацией ПО должна предоставлять средства для определения всех элементов конфигурации, на которые воздействует модификация данного элемента конфигурации.

Для организации работ, выполняемых в процессах жизненного цикла ПО, и подтверждения соответствия требованиям настоящего стандарта документация разработчика ПО должна содержать порядок использования системы управления конфигурацией ПО с целью определения всех элементов конфигурации, на которые воздействует модификация данного элемента конфигурации.

Примечание - Выполнение данного требования дает разработчику ПО возможность оперативно идентифицировать все элементы конфигурации (например, исходный код программы), зависящие от определенного фрагмента исходного кода программы, содержащего ставшую известной уязвимость программы [из 5.7.3.4 ГОСТ Р 56939-2016]