Разработка безопасного программного обеспечения 2026

Безопасная разработка —   это не только сканеры, анализ кода и проверки перед релизом. На практике многие проблемы появляются гораздо раньше: в требованиях, архитектуре, выборе сторонних компонентов, работе с подрядчиками, low-code/no-code-проектах и использовании LLM-инструментов.

В эфире AM Live разберём, как сделать РБПО частью качественной разработки, а не формальным комплаенсом. Обсудим, кто должен отвечать за безопасность ПО, как вовлекать разработчиков, какие мировые и отечественные стандарты помогают выстроить процесс, какую роль играют ГОСТ Р 56939-2024 и требования ФСТЭК, а также почему безопасность должна появляться в продукте до написания кода.

Отдельно поговорим о контроле стороннего кода, композиционном анализе, архитектуре, поверхности атаки, low-code/no-code и LLM. Главная идея эфира: безопасное ПО нельзя “досканировать” в конце —   его нужно проектировать, разрабатывать и сопровождать как качественный инженерный продукт.

Программа

РБПО как культура качества, а не формальность

Что сегодня правильно понимать под разработкой безопасного программного обеспечения?
Разработка безопасного программного обеспечения - это про безопасность, качество или комплаенс?
Как меняются требования ФСТЭК России к безопасной разработке?
Почему безопасность часто появляется слишком поздно - уже перед релизом или после инцидента?
Кто должен отвечать за безопасность ПО в компании?
Как обучить и вовлечь разработчиков в безопасную разработку?
Как подружить бизнес-требования и требования безопасности?
Как сделать так, чтобы РБПО помогало разработке, а не тормозило её?

Модель угроз и контроль стороннего кода

Как своевременно учесть требования безопасности на этапе создания архитектуры продукта?
Что такое поверхность атаки ПО и зачем её описывать при разработке?
Как модель угроз помогает сформулировать требования безопасности?
Какие ошибки чаще всего допускают при проектировании безопасной архитектуры?
Какие требования ФСТЭК и отечественные подходы важно учитывать разработчикам ПО?
Почему сторонний код стал одной из главных зон риска в РБПО?
Композиционный анализ и контролируемый репозиторий - это уже база Enterprise-разработки?
Что такое кодскоринг стороннего программного обеспечения и зачем он нужен?
Как контролировать безопасность подрядной разработки и внешних поставщиков ПО?
Как учитывать low-code/no-code и LLM-инструменты в общей системе РБПО?

Итоги и прогнозы

Какие стандарты и методологии помогут выстроить зрелый процесс РБПО в ближайшие 1–2 года?
Какие практики РБПО станут must-have в ближайшие годы?
ТОП-3 рекомендации для компаний, которые хотят усовершенствовать процесс РБПО?