Методика ВУ и НДВ — 2026

Событие, которое РБПО-сообщество ожидало уже некоторое количество месяцев. 12 мая 2026 года ФСТЭК была утверждена “Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении” (далее — Методика). Методика приведена в соответствие с ГОСТ Р 56939—2024.

Из информационного сообщения В. Лютикова от 28 мая № 240/24/3693:

Методика ориентирована на проведение исследований, выполняемых испытательными лабораториями и разработчиками в рамках сертификационных испытаний программных, программно-аппаратных средств защиты информации и защищённых программных, программно-технических средств, а равным образом в рамках внесения изменений в ранее сертифицированные средства. Разработчикам программного обеспечения средств защиты информации рекомендуется использовать положения настоящей Методики для организации внутренних процессов жизненного цикла программного обеспечения в соответствии с ГОСТ Р 56939—2024 “Безопасность информации. Разработка безопасного программного обеспечения. Общие требования”.

Если вы ещё не знакомы с обновлённым стандартом, то предлагаю взглянуть на подборку материалов “Разработка безопасного программного обеспечения (РБПО) по ГОСТ Р 56939—2024”. Подборка основана на 30 вебинарах, проведённых с экспертами из различных компаний, и будет хорошей отправной точкой для знакомства с РБПО и ГОСТ Р 56939—2024.

Соответственно, с выходом новой Методики старая более не применяется:

Из-за утверждением настоящей Методики положения методического документа “Методика выявления уязвимостей и недекларированных возможностей в программном обеспечении”, утверждённого ФСТЭК России 25 декабря 2020 г., не применяются.

С рассуждением о вопросе “Как быть с уже идущими работами по старой методике?” можно познакомиться в здесь (Информационный канал сообщества ФСТЭК России и ИСП РАН).

Примечательно, что впервые выложена выписка из Методики (для 6-4 уровней доверия).

Далее хочется затронуть некоторые моменты, которые так или иначе касаются близкой нам темы — статического анализа кода. Подробности у нас в блоге – Методика выявления уязвимостей и недекларированных возможностей — 2026.