Обновление правил поиска недекларированных возможностей в ПО: новые требования к сертификации и безопасной разработке

ФСТЭК России утвердила новую методику выявления недекларированных возможностей в программном обеспечении. Документ от 28 мая 2026 года заменяет правила, действовавшие с конца 2020-го. Регулятор актуализировал подходы к поиску скрытых уязвимостей и неочевидных функций в коде.

Обновленные нормы диктуют жесткие рамки для рынка средств защиты информации. Методику применяют при первичной сертификации ПО. Она обязательна при внесении изменений в уже сертифицированные продукты. Особый акцент регулятор сделал на программах с криптографической защитой 4–7 классов. Для них процедуры поиска закладок становятся предельно строгими. Исключения не предусмотрены.

ФСТЭК перекладывает часть ответственности на самих создателей софта. Разработчикам рекомендовано заранее встроить требования методики во внутренние регламенты. Регулятор прямо отсылает к национальному стандарту ГОСТ Р 56939-2024. Поиск недекларированных возможностей теперь становится неотъемлемой частью жизненного цикла продукта. Это больше не формальность, которую закрывают на этапе сертификации. Безопасность нужно закладывать на этапе написания кода.

Испытательным лабораториям предстоит немедленная перестройка рабочих процессов. Им придется адаптировать собственные стенды, инструментарий и сценарии тестирования под новые алгоритмы ФСТЭК. Любое отклонение от утвержденной процедуры теперь гарантированно грозит отказом в выдаче сертификата соответствия.

Отрасль получает более прозрачный, но и более требовательный инструмент государственного контроля. Рынок вынужден инвестировать в глубокий пересмотр внутренних стандартов качества кода. Компании, не успевшие адаптировать процессы безопасной разработки под новые реалии, столкнутся с серьезными задержками при выводе своих продуктов на государственный рынок.