Главная / Решения / Конвейер безопасной разработки
Основное решение

Конвейер безопасной разработки «в коробке»

Разворачиваем в вашей инфраструктуре готовую среду безопасной разработки: от репозитория до подписанного релиза. Конвейер сам собирает доказательства, которые запросит проверяющий.

Обсудить проект Пакеты
4 неделипакет «Старт»
До 20разработчиков в «Старте»
25 процессовГОСТ Р 56939-2024, раздел 5
В вашем контурекод не уходит наружу
Задача

Нужно не только проверять код, но и доказать проверяющему, что процессы безопасной разработки работают.

Что делаем

Ставим готовый конвейер на продуктах AppSec и открытых инструментах в вашей инфраструктуре.

Результат

Работающая система и папка для аудитора, которая собирается сама в каждой сборке.

Задача

На ГОСТ Р 56939-2024 опираются приказы ФСТЭК России для изготовителей средств защиты информации, операторов госсистем и разработчиков ПО для значимых объектов КИИ. Нужно не только проверять код, но и показать, что процессы работают: какие инструменты использовались, что они нашли и как разобраны срабатывания. Кому и что нужно →

Своей команды DevSecOps и бюджета на долгий консалтинг у небольших и средних компаний обычно нет. Мы закрываем техническую часть готовым решением с понятной ценой.

Для кого

Командам, от которых заказчик или регулятор требует подтвердить процессы безопасной разработки.

  • Изготовителям средств защиты информации, которые готовятся к сертификации процессов безопасной разработки на соответствие ГОСТ Р 56939-2024 (приказ ФСТЭК России № 240).
  • Операторам госсистем, которые разрабатывают ПО сами, — меры разделов 4 и 5 ГОСТ Р 56939-2024 обязательны с 1 марта 2026 г. (п. 50 Требований, приказ № 117). Их подрядчикам — если оператор включил эти требования в техническое задание.
  • Разработчикам прикладного ПО для значимых объектов КИИ — руководство по безопасной разработке, статический анализ, фаззинг, для 1 категории — динамический анализ (п. 29.3 Требований, приказ № 239).
  • Разработчикам приложений для банков и финансовых организаций — если приложение распространяется клиентам или принимает их распоряжения через интернет. Такое ПО должно быть сертифицировано ФСТЭК России или пройти оценку не ниже ОУД4, а после изменения кода — заново (Положения Банка России № 851-П, 757-П, 821-П). С 1 октября 2026 г. участники платёжной системы, а с 1 января 2027 г. и некредитные финансовые организации могут вместо этого сертифицировать в ФСТЭК России процессы безопасной разработки по ГОСТ Р 56939-2024 — именно их и даёт конвейер. Подробнее →

Требование → чем закрываем

Что проверяют по приказам ФСТЭК России и какой компонент конвейера это даёт. Тексты требований →

Что проверяютпо тексту приказов
Что даёт конвейерв вашей инфраструктуре
Средства статического анализаприказ № 240, п. 19; приказ № 239, п. 29.3.2
AppSec.Wave в каждом merge requestотчёт и разметка срабатываний сохраняются
Композиционный анализприказ № 240, п. 19
AppSec.Track и SBOM каждого релизасостав компонентов и уязвимости · допуск новых компонентов
Динамический анализ и фаззингприказ № 240, п. 19; приказ № 239, п. 29.3.2
ZAP, AFL++, libFuzzer в конвейеререзультаты — в папке для аудитора
Контроль среды сборкиприказ № 240, п. 19
Изолированная сборка, подпись, контрольные суммыжурналы сборки с защитой целостности
Руководство и регламентыприказ № 240, п. 5.1; приказ № 239, п. 29.3.1
Шаблоны регламентов по пп. 5.1–5.25 ГОСТзаполняются под вашу компанию · кто что делает по каждому процессу
Артефакты процессовприказ № 240, п. 19
Папка для аудиторасобирается автоматически, а не перед проверкой

Что внутри

Продукты AppSec и открытые инструменты, собранные в один конвейер. Если у вас уже есть GitLab — подключаем его.

КомпонентЧем закрываем
Контроль версий, CI, задачиAppSec.Code или ваш GitLab
Хранение артефактовAppSec.Registry
Статический анализ кодаAppSec.Wave
Анализ сторонних компонентовAppSec.Track
Динамический анализ и фаззингОткрытые инструменты: ZAP, AFL++, libFuzzer
Безопасная сборка и подписьИзолированная сборочная среда, подпись артефактов, контрольные суммы
СекретыOpenBao
Среды и инфраструктураOpenTofu, Ansible
Сводная аналитикаAppSec.Hub
РегламентыШаблоны, которые заполняются под вашу компанию, а не пишутся с нуля

Папка для аудитора

Наше главное отличие: доказательства собираются автоматически, а не перед проверкой вручную.

Настройки инструментов

Версии и конфигурации средств анализа на момент каждой проверки.

Срабатывания и разбор

Все найденное и решения по нему: исправлено, принято, ложное.

История ревью

Кто и когда проверил изменения кода.

SBOM релиза

Состав компонентов каждого выпуска.

Журналы сборки

С защитой целостности и контрольными суммами.

Как проходит внедрение

На примере пакета «Старт».

  1. Неделя 1

    Обследование и проект

    Смотрим текущие репозитории, сборку и инфраструктуру. Согласуем состав и схему установки.

  2. Неделя 2

    Установка платформы

    Автоматизированно разворачиваем компоненты в вашей инфраструктуре.

  3. Неделя 3

    Подключение проектов

    Встраиваем анализ и безопасную сборку в конвейеры ваших проектов, настраиваем правила.

  4. Неделя 4

    Доказательная база и передача

    Настраиваем сбор доказательств, заполняем шаблоны регламентов, обучаем команду и передаём систему.

Пакеты

Состав и срок фиксируем в договоре.

Старт

До 20 разработчиков · 4 недели
  • Полный конвейер из раздела «Что внутри»
  • Подключение проектов команды
  • Папка для аудитора
  • Шаблоны регламентов
  • Обучение команды
Цена — по запросу
Запросить расчёт

Стандарт

Больше 20 разработчиков · срок по объёму
  • Всё из пакета «Старт»
  • Несколько команд и продуктов
  • Интеграция с вашими системами
Цена — по запросу
Запросить расчёт

Поддержка

Подписка после внедрения
  • Обновление правил и шаблонов при изменении требований
  • Обновление компонентов
  • Помощь команде
Цена — по запросу
Узнать условия

Вопросы и ответы

Вы гарантируете прохождение сертификации?

Нет. Мы внедряем технические меры и настраиваем сбор доказательной базы. Оценку соответствия проводите вы или орган по сертификации — мы готовим к ней материалы и систему.

Где будут храниться код и данные?

В вашей инфраструктуре. Мы устанавливаем компоненты на ваши серверы и не забираем код к себе.

У нас уже есть GitLab. Его придётся менять?

Не обязательно. Можем подключить конвейер к вашему GitLab или перенести всё на AppSec.Code — решим на этапе обследования.

Какие лицензии нужно покупать?

Только те, что нужны для вашего состава. Где возможно, используем открытые инструменты. Лицензии AppSec поставляем как партнёр.

Что, если требования изменятся?

В подписке на поддержку обновляем правила, шаблоны регламентов и компоненты конвейера.

Обсудим ваш проект

Напишите, сколько у вас разработчиков, какой стек и к какому сроку нужен результат. Ответим с составом пакета и сроками.

info@softmart.ru
Обсудить проект