ГОСТ Р 71207-2024

ФЕДЕРАЛЬНОЕ АГЕНТСТВО

                                    ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ




                                                 НАЦИОНАЛЬНЫЙ                       ГОСТ Р
                                                    СТАНДАРТ
                                                  РОССИЙСКОЙ
                                                                                    71207—
                                                   ФЕДЕРАЦИИ                        2024




                                          Защита информации

                                 РАЗРАБОТКА Б ЕЗО ПАСНО ГО
                                ПРО ГРАМ М НО ГО О Б ЕС П ЕЧ ЕН И Я
                            Статический анализ программного обеспечения.
                                          Общие требования



                                                Издание официальное




                                                            Москва
                                               Российский институт стандартизации
                                                              2024




сертификация оборудования

ГОСТ Р 71207— 2024


                                       Предисловие
      1 РАЗРАБОТАН Федеральной службой по техническому и экспортному контролю (ФСТЭК Рос­
сии), Федеральным государственным бюджетным учреждением науки «Институт системного програм­
мирования им. В.П. Иванникова Российской академии наук» (ИСП РАН)

    2 ВНЕСЕН Техническим комитетом по стандартизации ТК 362 «Защита информации»

     3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому
регулированию и метрологии от 18 января 2024 г. № 25-ст

    4 ВВЕДЕН ВПЕРВЫЕ




     Правила применения настоящего стандарта установлены в статье 26 Федерального закона
от 29 июня 2015 г. № 162-ФЗ «О стандартизации в Российской Федерации». Информация об из­
менениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего
года) информационном указателе «Национальные стандарты», а официальный текст изменений
и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае
пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет
опубликовано в ближайшем выпуске ежемесячного информационного указателя «Национальные
стандарты». Соответствующая информация, уведомление и тексты размещаются также в ин­
формационной системе общего пользования — на официальном сайте Федерального агентства по
техническому регулированию и метрологии в сети Интернет (www.rst.gov.ru)




                                          © Оформление. ФГБУ «Институт стандартизации», 2024

     Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и рас­
пространен в качестве официального издания без разрешения Федерального агентства по техническо­
му регулированию и метрологии

ГОСТ Р 71207— 2024


                                                                           Содержание
1 Область прим енения..................................................................................................................................................1
2 Нормативные ссы лки..................................................................................................................................................1
3 Термины, определения и сокращ ения.................................................................................................................. 2
4 Общие по л ож ения......................................................................................................................................................5
5 Требования к внедрению и порядку выполнения статического анализа...................................................... 5
6 Классификация критических ошибок, находимых статическими ан ал и за то р а м и .....................................8
7 Требования к методам анализа, реализованным в статическом анализаторе........................................... 9
8 Требования к инструментам статического а н а л и з а ........................................................................................ 10
9 Требования к специалистам, проводящим статический а н а л и з .................................................................. 11
10 Методика проверки требований к статическому анализатору...................................................................12
Приложение А (справочное) Пример применения классификации критических ошибок,
                         выявляемых статическими анализаторами, для ошибки переполнения буфера
                         в языке С ............................................................................................................................................. 14
Приложение Б (справочное) Примеры построения квалификационных тестов для ошибки
                         переполнения буфера с использованием поточных вариантов в языке С ...................... 15

ГОСТ Р 71207— 2024


                                          Введение
      Уровень безопасности создаваемого программного обеспечения (ПО) связан с наличием уязви­
мостей и критических ошибок в программном коде. В свою очередь, количество найденных ошибок
во многом определяется уровнем используемых в ходе разработки инструментов. Для этого современ­
ные инструменты поиска ошибок, такие как статические и динамические анализаторы, обеспечивают
определенный набор характеристик анализа: полноту и качество, скорость, удобство для пользовате­
ля, применимость к современным языкам программирования и др.
      Настоящий стандарт устанавливает общие требования к внедрению и выполнению статическо­
го анализа ПО, а также исходные данные, необходимые для его выполнения. Настоящий стандарт
устанавливает требования к методам статического анализа, инструментам анализа (статическим ана­
лизаторам) и к специалистам, участвующим в анализе. Настоящий стандарт устанавливает методику
проверки устанавливаемых требований к инструментам анализа.
      Настоящий стандарт входит в комплекс стандартов, направленных на достижение целей, связан­
ных с предотвращением появления и/или устранением уязвимостей программ, содержит общие требо­
вания по проведению статического анализа ПО и применяется совместно с ГОСТ Р 56939.




IV