Концепция формирования метрик безопасности прикладного ПО для объектов КИИ
DOI: 10.21293/1818-0442-2026-29-2-160-176
☷
- О ТУСУРе
- Абитуриентам
-
Студентам
- Первокурсникам
- Расписание занятий
- Система дистанционного обучения
- Научно-образовательный портал
- Библиотека
- Групповое проектное обучение
- Журнал посещаемости
- Журнал успеваемости
- Клубы по интересам
- Спорт в ТУСУРе
- Профком студентов
- Содействие трудоустройству
- Облачное хранилище ТУСУРа
- Поддержка студенческих семей
- Поддержка участников СВО и их детей
- Многофункциональный центр
- Аспирантам
-
Сотрудникам
- Телефонный справочник
- Расписание занятий
- Система дистанционного обучения
- Научно-образовательный портал
- Библиотека
- Журнал посещаемости
- Журнал успеваемости
- Генератор рабочих программ
- Генератор ОПОП
- Генератор ИПРП
- Показатели эффективности труда ППС
- Спорт в ТУСУРе
- Профком сотрудников
- Облачное хранилище ТУСУРа
- Выпускникам
- Партнёрам
Аннотация: Актуальность. Усиление требований нормативно-правовой базы к защите информации объектов критической информационной инфраструктуры приводит к необходимости создания системы количественных оценок безопасности разрабатываемого и используемого прикладного программного обеспечения. Цель исследования. Разработка модернизированного метода количественных оценок безопасности прикладного программного обеспечения на основе методологии системы международных стандартов по качеству программного обеспечения. Методы. В работе комплексно применены методы системного анализа, формализации, синтеза, сравнения, вычислительного эксперимента и нормативной привязки. Научная новизна. Разработана концепция введения системы количественных оценок безопасности прикладного программного обеспечения и новой подхарактеристики безопасности программ "уровни безопасности программного обеспечения" как показателя качества разрабатываемых программ. Предложена трехуровневая система формирования уровней безопасности программного обеспечения, опирающаяся на двухконтурную модель агрегирования, в которой заградительные и градуируемые метрики играют математически различную функциональную роль. Результаты. Применимость предложенной концепции показана на примере расчета метрик безопасности. Практическая значимость. Предложения система количественных оценок уточненных метрик безопасности может применяться в проектах создания и модернизации прикладного программного обеспечения объектов критической информационной инфраструктуры.
Ключевые слова: безопасность программного обеспечения, критическая информационная инфраструктура, SQuaRE, метрики безопасности, гармоническое среднее, заградительные метрики, модель угроз, уровни безопасности программного обеспечения
Библиография статьи:
Бочков А. В. Концепция формирования метрик безопасности прикладного ПО для объектов КИИ / А. В. Бочков, А. Г. Сабанов, А. А. Шелупанов // Доклады Томского государственного университета систем управления и радиоэлектроники. – 2026. – Т. 29, № 2. – С. 160–176. DOI: 10.21293/1818-0442-2026-29-2-160-176
Авторы и правообладатели:
- Бочков А. В. , АО «Научно-исследовательский и проектно-конструкторский институт информатизации, автоматизации и связи на железнодорожном транспорте»
- Сабанов А. Г. , АО «Научно-исследовательский и проектно-конструкторский институт информатизации, автоматизации и связи на железнодорожном транспорте»
- Шелупанов А. А. , Томский государственный университет систем управления и радиоэлектроники
- 1. ГОСТ Р 56939–2024. Защита информации. Разработка безопасного программного обеспечения. Общие требования. – М.: Стандартинформ, 2024.
- 2. ГОСТ Р 12207–2010. Информационная технология. Системная и программная инженерия. Процессы жизненного цикла программных средств. – М.: Стандартинформ, 2010.
- 3. Об утверждении требований по обеспечению безопасности значимых объектов КИИ Российской Федерации. Утв. приказом ФСТЭК России от 25 декабря 2017 г. № 239 [Электронный ресурс]. – URL: https://fstec.ru/dokumenty/vse-dokumenty/prikazy/prikaz-fstek-rossii-ot-25-dekabrya-2017-g-n-239 (дата обращения: 09.10.2026).
- 4. Методический документ ФСТЭК России. Состав и содержание мероприятий и мер по защите информации, содержащейся в информационных системах. Утв. ФСТЭК России 12 апреля 2026 г. [Электронный ресурс]. – URL: https://fstec.ru/dokumenty/vse-dokumenty/spetsialnye-normativnye-dokumenty/metodicheskij-dokument-ot-12-aprelya-2026-g (дата обращения: 09.10.2026).
- 5. Приказ ФСТЭК России от 11.04.2025 № 117 «Об утверждении Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений» (Зарегистрирован в Минюсте России 16.06.2025 № 82619) // Официальный интернет-портал правовой информации. – URL: http://publication.pravo.gov.ru/document/0001202506170011 (дата обращения: 09.10.2026).
- 6. ГОСТ Р ИСО/МЭК 9126-93. Информационная технология. Оценка программной продукции. Характеристика качества и руководства по их применению. – Введ. 1993-12-28. – М.: ИПК «Изд-во стандартов», 2003.
- 7. ГОСТ Р ИСО/МЭК ТО 12182–2002. Информационная технология. Классификация программных средств. Введ. 2002-06-11. – М.: ИПК «Изд-во стандартов», 2002.
- 8. ГОСТ Р ИСО/МЭК 25000–2021. Системная и программная инженерия. Требования и оценка качества систем и программных средств (SQuaRE). Руководство. Введ. 2021–10–25. – М.: ФГБУ «РСТ», 2021.
- 9. ГОСТ Р ИСО/МЭК 25010–2015. Системная и программная инженерия. Требования и оценка качества систем и программного обеспечения (SQuaRE). Модели качества систем и программных продуктов. Введ. 2015-05-29. – М.: Стандартинформ, 2015.
- 10. ГОСТ Р ИСО/МЭК 25022–2021. Системная и программная инженерия. Требования и оценка качества систем и программного обеспечения (SQuaRE). Измерение качества при использовании. Введ. 2021-10-25. – М.: ФГБУ «РСТ», 2021.
- 11. ГОСТ Р ИСО/МЭК 25023–2021. Системная и программная инженерия. Требования и оценка качества систем и программной продукции (SQuaRE). Измерения качества системы и программной продукции. Введ. 2021-11-19. – М.: ФГБУ «РСТ», 2021.
- 12. ГОСТ Р 70921-2023. Системная и программная инженерия. Требования и оценка качества систем и программной продукции (SQuaRE). Концепция требований к качеству. Введ. 2023-09-14. – М.: Российский институт стандартизации, 2023.
- 13. ГОСТ Р 70262.1–2022. Защита информации. Идентификация и аутентификация. Уровни доверия к идентификации. – М.: Стандартинформ, 2022.
- 14. ГОСТ Р 70262.2–2025. Защита информации. Идентификация и аутентификация. Уровни доверия к аутентификации. – М.: Стандартинформ, 2025.
- 15. Шубинский И.Б. Функциональная надежность информационных систем. Методы анализа. – Ульяновск: Печатный двор, 2012. – 296 с.
- 16. Шубинский И.Б. Надежные отказоустойчивые информационные системы. Методы синтеза. – Ульяновск: Печатный двор, 2016. – 544 с.
- 17. Шубинский И.Б. Функциональная безопасность систем управления на железнодорожном транспорте / И.Б. Шубинский, Е.Н. Розенберг. – Москва; Вологда: Инфра-Инженерия, 2023. – 360 с.
- 18. Марков А.С. Модели оценки и планирования испытаний программных средств по требованиям безопасности информации // Вестник МГТУ им. Н.Э. Баумана. – Сер.: Приборостроение. – 2011. – S.1. – С. 90–103.
- 19. Марков А.С. Систематика уязвимостей и дефектов безопасности программных ресурсов / А.С. Марков, А.А. Фадин // Защита информации. Инсайд. – 2013. – № 3 (51). – С. 56–61.
- 20. Марков А.С. Эвристический анализ безопасности программного кода / А.С. Марков, В.А. Матвеев, А.А. Фадин, В.Л. Цирлов // Вестник МГТУ им. Н.Э. Баумана. – Сер.: Приборостроение. – 2016. – № 1 (106). – С. 98–111. DOI: 10.18698/0236-3933-2016-1-98-111.
- 21. Мерзлякова Е.Ю. Обзор методов верификации и оценки качества программного обеспечения / Е.Ю. Мерзлякова, Е.В. Янченко // Вестник СибГУТИ. – 2023. – Т. 17, № 1. – С. 92–106. DOI: 10.55648/1998-6920-2023-17-1-92-106.
- 22. Кулямин В.В. Технологии программирования. Компонентный подход. – Лекция 5: Качество программного обеспечения и методы его контроля [Электронный ресурс]. – URL: https://studfile.net/preview/993777/page:14/ (дата обращения: 22.07.2026).
- 23. Goertzel K.M. Software Security Assurance: A State-of-Art Report (SAR) / K.M. Goertzel, Th. Winograd, H.L. McKinley et al. – Fort Belvoir, VA: Information Assurance Technology Analysis Center, Data and Analysis Center for Software. – 2007.
- 24. Woody C. Exploring the Use of Metrics for Software Assurance (SEI Report CMU/SEI-2018-TN-004) / C. Woody, R.J. Ellison, Ch. Ryan. – Carnegie Mellon University, USA: Software Engineering Institute, 2020. https://doi.org/10.1184/R1/12366842.v1.
- 25. Платформа Рефлектиз [Электронный ресурс]. – URL: https://www.reflectiz.com/product/platform-overview (дата обращения: 21.07.2026).
- 26. State of Web Exposure 2026 [Электронный ресурс]. – URL: https://www.reflectiz.com/learning-hub/web-exposure-2026-research. (дата обращения: 22.07.2026).
- 27. Systematic literature review of machine learning based software development effort estimation models / S. Wen, Z. Li, Y. Lin, C. Hu, C. Huang // Information and Software Technology. – 2012. – Vol. 54, No. 1. – P. 41–59. DOI: 10.1016/j.infsof.2011.09.002.
- 28. Naeem S. Predicting Faults in High Assurance Software / S. Naeem, J. Khoshgoftaar, J. Van Hulse // 12th IEEE High Assurance Systems Engineering Symposium, 3–4 November 2010. – San Jose, CA, USA: IEEE, pp. 26–34. DOI: 10.1109/HASE.2010.29.
- 29. Hassan A.E. The top ten List: Dynamic Fault Prediction / A.E. Hassan, R.C. Holt // Proceedings of the 21st IEEE International Conference on Software Maintenance, 26–29 September 2005. – Budapest, Hungary: IEEE, 2005. – P. 263–272. DOI: 10.1109/ICSM.2005.91.
- 30. Kindervag J. (2010-11-05). Build Security Into Your Network's DNA: The Zero Trust Network Architecture. Forrester Research [Электронный ресурс]. – URL: https://www.virtualstarmedia.com/downloads/Forrester_zero_trust_DNA.pdf (дата обращения: 22.07.2026).
- 31. Témolé F. An Integrated Approach to Managing Software Quality in Complex Systems / F. Témolé, D. Ata-nasova // American Journal of Software Engineering and Applications. – 2025. – Vol. 13, No. 1. – P. 1–17. DOI: 10.11648/j.ajsea.20251301.11.
- 32. Champion K. Qualities of Quality: A Tertiary Review of Software Quality Measurement Research / K. Champion, S. Khatri and B. M. Hill // arXiv preprint. – 2021. – arXiv: 2107.13687. DOI: 10.48550/arXiv.2107.13687.
- 33. Деркач Е.А. Оценка нулевого доверия на этапах жизненного цикла создания программных продуктов / Е.А. Деркач, А.А. Шелупанов, С.Н. Новиков, Д.С. Брагин // Доклады ТУСУР. – 2025. – Т. 28, № 4. – С. 144–151. DOI: 10.21293/1818-0442-2025-28-4-144-151.
- 34. Баранов В.В. Методика и алгоритмы расчета защищенности элементов распределенных информационных систем в условиях деструктивного воздействия / В.В. Баранов, А.А. Шелупанов // Доклады ТУСУР. – 2022. – Т. 25, № 4. – С. 88–100. DOI: 10.21293/1818-0442-2022-25-4-88-100.
- 35. Деркач Е.А. Методологические подходы к обеспечению безопасности программных продуктов / Е.А. Деркач, А.А. Шелупанов // Доклады ТУСУР. – 2024. – Т. 27, № 1. – С. 37–43. DOI: 10.21293/1818-0442-2024-27-1-37-43.
Рукописи статей направлять на адрес редакции:
journal@tusur.ru
Последний выпуск
Адрес редакции
Подписка на обновления
