Коллеги, доброго дня!

Концепция круглого стола "Безопасная разработка ПО: компетенции, сообщество, сертификация" на полях Иванниковских чтений 23-24.09.2022 в Казани согласована программным комитетом.

Приглашаем всех участников сообщества принять участие в конференции и круглом столе - пожалуйста пройдите регистрацию на сайте. Разумеется предпочтительно очное участие! Это не только возможность прогуляться по замечательному городу Казань в компании единомышленников, но и традиционно расширенные кулуары и неформальное общение с энтузиастами безопасной и качественной разработки.

Более подробное описание мероприятия доступно в Орг. вопросах по ссылке: https://t.me/sdl_community/2789

Коллеги, доброго дня.

От коллег из учебного центра АНО ДПО "ЦПКС ТЗИ" г. Воронеж поступил запрос на сбор информации о наличии желающих посетить курсы. До конца 2022 года возможно проведение второго потока курсов по архитектурному анализу (программ №33), в начале 2023 года - третий поток курсов по фазинг-тестированию (программ №31).

Если ваша организация желает обучить своих сотрудников по данным программам, пожалуйста свяжитесь с директором центра Акименко А. К., контакты доступны по приведенной выше ссылке.

Коллеги, доброго дня. От коллег из учебного центра АНО ДПО "ЦПКС ТЗИ" г. Воронеж поступила информация о том, что принято решение о проведении обучения на базе ИСП РАН по статическому анализу (программа № 34) с 26 по 30 сентября. До начала курса осталось меньше двух недель, есть несколько свободных мест. Пожалуйста свяжитесь с руководителем центра по приведённой выше ссылке либо по телефонам (+7 (473) 239-05-22, +7 (900) 304-01-21), если вы желаете обучиться в данном потоке.

Коллеги, доброго дня!

Для взаимодействия гостей конференции Иванниковские чтения 2022, а также последующих конференций под эгидой ИСП РАН, создан чат https://t.me/ispras_friends

В Орг. Вопросах выложим только ссылки на трансляцию и финальные обоймы презентаций - больше никакого шума.

Кто хочет узнать куда и с кем пойти пить кофе, когда будет ну вот самый интересный доклад, как зовут вот того/ту высокого парня/барышню с ехидной улыбкой, ну или просто запостить котиков (да, здесь это разрешено! Но не в режиме флуда), пожалуйста вступайте. Данный чат будет активироваться/деактивирвоаться в окрестностях временного диапазона конференций и не предназначен для обсуждения рабочих вопросов.

Интегральная презентация по взаимосвязи технологий ИСП РАН с пленарного заседания на Иванниковских Чтениях 2022

Друзья, начинается прогревочная часть круглого стола и встречи сообщества. Объединенная презентация спикеров выложена ниже, она же выводится в трансляцию.

​​Чувашский госуниверситет развивает сотрудничество с Институтом системного программирования Российской академии наук

Документ, подтверждающий готовность к партнерству в образовательной и научной сфере, был подписан на площадке Международной конференции «Иванниковские чтения» в рамках Kazan Digital Week 2022.

Участниками партнерского соглашения выступили три стороны: Чувашский государственный университет имени И. Н. Ульянова, Институт системного программирования имени В. П. Иванникова Российской академии наук и общество с ограниченной ответственностью «Кейсистемс-безопасность». Документ послужит правовой основой для взаимодействия в совместной образовательной и научной работе.

Одним из ключевых пунктов соглашения стало создание на базе ЧувГУ «Лаборатории системного программирования и безопасной разработки программного обеспечения», открытие которой запланировано на ноябрь 2022 года. Сеть подобных лабораторий под научным руководством ИСП РАН успешно развивается в нескольких вузах страны: Новгородском государственном университете имени Ярослава Мудрого, Академии ФСО России, Российско-Армянском университете. Через них обеспечивается трансфер передовых знаний, технологий в области ИТ и с привлечением студентов, аспирантов и молодых исследователей формируются региональные центры соответствующих компетенций.

Андрей Александров, ректор ЧувГУ:

«ИСП РАН имеет долгий опыт взаимодействия с ведущими вузами России. Кафедры системного программирования, на которых работают сотрудники института, открыты в МГУ имени М. В. Ломоносова, МФТИ и НИУ ВШЭ. Создание „Лаборатории системного программирования“ в ЧувГУ – это новые возможности для профессионального роста и качественного развития наших студентов».

Участники соглашения планируют проводить взаимное консультирование при разработке и реализации основных образовательных программ высшего образования, программ дополнительного образования, дисциплин, направленных на формирование компетенций, необходимых для выполнения ключевых комплексных научно-исследовательских и опытно-конструкторских проектов, коммерциализации полученных результатов в области системного программирования и кибербезопасности. Проведение исследований по выявлению приоритетных направлений развития системного программирования; исследование теоретических основ обеспечения информационной безопасности; разработка информационных систем для обработки больших объемов данных, анализа социальных сетей; исследование проблем программной и системной инженерии, теоретической и прикладной информатики; разработка и изготовление новой продукции на базе передовых технологий, а также формирование совместных научно-исследовательских программ и проектов в интересах инновационного развития Российской Федерации – все это в планах по дальнейшему трехстороннему сотрудничеству.

Международная конференция «Иванниковские чтения» — ежегодная встреча ведущих экспертов и главное событие года в системном программировании. Она посвящена разработке инновационных технологий в области системного программирования и проводится в память академика РАН В. П. Иванникова. Проведение конференции осуществляется при поддержке международной некоммерческой ассоциации IEEE – мирового лидера в сфере разработки стандартов по радиоэлектронике, электротехнике и аппаратному обеспечению вычислительных систем и сетей. В этом году мероприятие прошло в рамках Международного форума Kazan Digital Week 2022.

@RussiaUniversities

Коллеги, кто заинтересован принять участие - свяжитесь пожалуйста с Алексеем Хорошиловым!

Оригинальное обсуждение в https://t.me/sdl_flood/2647

ага, как раз по части Secure Boot мы планируем завтра обсудить текущие проблемы и возможные подходы к их исправлению в рамках Технологического центра исследования безопасности ядра

Если кто заинтересован в вопросах безопасной загрузки (в основном в части UEFI+Linux) и хочет присоединиться, напишите

Более полную информацию вы можете традиционно прочитать в Орг. Вопросах: https://t.me/sdl_community/3236

Коллеги, доброго дня!
Утверждена концепция ежегодной встречи сообщества разработчиков доверенного ПО на полях открытой конференции ИСП РАН 1 декабря.

Следуя принципу "лучшее - враг хорошего", и с учётом аншлага на прошлогодней встрече, общую концепция мероприятия решено не менять. Во встрече примут участие представители и руководители структурных подразделений ФСТЭК России и иных отечественных регуляторов, руководители направлений ИСП РАН, представители ведущей отечественной промышленности и экспертных организаций.

Наиболее важными темами, подлежащими дискуссии, как и в прошлом году будут:
- разделение активностей по анализу компонент с открытым исходным кодом и учет результатом при сертификационных испытаниях, в том числе на примере деятельности центра по анализу ядра Линукс;
- развитие перспективных средств и методик анализа программного кода и архитектуры.

Традиционно в ходе встречи состоится "отчетная" демонстрация текущих возможностей инструментов статического анализа, определения поверхности атаки, и фаззинг-тестирования, также будут анонсированы планы по развитию и интеграции инструментов в 2023 году.

При этом совсем без новшеств мы конечно же не обойдёмся, в частности:
- сообщество кратно выросло за 2022 год, поэтому встреча будет проводиться в основном (синем) зале;
- членами сообщества стал целый ряд образовательных организаций, поэтому как общим вопросам образования (в том числе целевого), так и конкретным программам взаимодействия с молодыми энтузиастами разработки безопасного ПО будет уделено особое внимания;
- в обсуждении будут затронуты бесспорно важные для всех перспективные концепции в области безопасной разработки, конкретный список которых, впрочем, мы пока раскрывать не будем - все любят сюрпризы :)

Для участия в конференции вам необходимо пройти регистрацию по ссылке - число мест увеличено, но по-прежнему ограничено!

Зарегистрировавшихся ранее просим пройти повторную регистрацию в связи с дополнением регистрационной формы.

Небольшое уточнение.
Из-за технических проблем Таймпада не получается запустить повторную регистрацию. Если вы уже регистрировались и планируете участвовать во встрече разработчиков - пришлите e-mail, на который производилась регистрация, на почту ryzhov@ispras.ru. Коллеги вас перерегистрируют.

Для тех, кто заинтересован в теме доверенной загрузки, но чьи почтовые адреса нам не были известны, продублирую здесь:
- доступен краткий протокол ВКС по вопросам доверенной загрузки ОС с применением UEFI Secure Boot, состоявшегося 27 октября 2022 года
- создан список рассылки рабочей группы по вопросам доверенной загрузки: lvc-secure-boot@linuxtesting.org

Для получения копии протокола и добавления в список рассылки, сообщите в личку адрес электронной почты

Коллеги, хотелось бы получить обратную связь от нашего сообщества.
ИСП РАН на регулярной основе отслеживает тенденции в IT, в частности – востребованность статического анализа для различных языков программирования.
Исследования по открытым источникам позволяют оценить текущие мировые тренды, но очень хотелось бы обновить обратную связь от отечественных разработчиков безопасного ПО и разработчиков СЗИ в частности: на каких языках ведется разработка, насколько важен тот или иной язык для реализации функций безопасности.
Эта информация будет крайне полезна для планирования развития технологий статического анализа в нашей стране.
Высылайте до 18 ноября информацию на почту tk362@ispras.ru, тема письма – «Языки безопасного ПО».

Как минимум было бы интересно увидеть от вас информацию в объеме:
1. Название компании
2. Какие продукты вы разрабатываете
3. Используемые языки программирования в порядке приоритета

По возможности, и в первую очередь для лицензиатов ФСТЭК и иных отечественных регуляторов, просим предоставить информацию в более расширенном виде:

1. Название компании
2. Ориентировочное число сертифицируемых продуктов
3. Уровни доверия, на которые ведется сертификация
4. Типы СЗИ (ОС, СУБД, МЭ, СОВ, .. )
5. Используемые языки программирования в порядке приоритета
6. Используемые фреймворки (Poco, Spring и т. д.)
7. Среды функционирования, на которые рассчитано разрабатываемое ПО

Коллеги, доброго вечера.

В связи с большим числом вопросов, возникающих после публикации приказа ФСТЭК №172 от 19 сентября 2022 о внесении поправок в Положение о сертификации, в частности пункта, посвященного "...сертификату соответствия процедур программного обеспечения требованиям национальных стандартов в области защиты информации...", получен официальный комментарий начальника 2 Управления ФСТЭК России Д. Н. Шевцова, состоящий из следующих тезисов:

1. В настоящий момент требования и методические рекомендации по процедуре таковой сертификации находятся в процессе проработки, на начальной стадии. Появление нормативно-правовой базы по данному вопросу ожидается не ранее второй половины 2023 года.

1.а. Состав и порядок аккредитации организаций, обладающих правом на проведение таковой сертификации, в настоящий момент также не определён.

2. Любые коммерческие/некоммерческие предложения по подготовке к таковой сертификации, по итогам которых вам обещают (гарантируют) формальное соответствие критериям данной процедуры и соответственно успешное её прохождение, ФСТЭК России рекомендует считать юридически ничтожными до момента, когда указанные требования и методические рекомендации будут подготовлены и вступят в законную силу (см. п.1).

Пожалуйста распространите данную информацию среди своих коллег.

Также позволю себе частное мнение по данному вопросу - ожидается, что сертификация будет направлена на проверку реальных процессов безопасной разработки в организациях: выбранных инструментов анализа и качества их конфигурирования, частоты и регулярности применения инструментов и выполнения процессов, числу и проф. пригодности специалистов, качеству выполняемого анализа (в том числе в сравнении с результатами совместного анализа OS-пакетов под эгидой Центров компетенций ФСТЭК России и ИСП РАН) и т. п., а не только и не столько проверки собственно документов, описывающих данные процессы. В связи с этим в выстраивании процессов в первую очередь стоит ориентироваться на требования Методики ВУ и НДВ ФСТЭК России, Требований доверия, разрабатываемых ГОСТов по стат., дин. анализу, безопасному компилятору (многие участники сообщества участвуют в проработке указанных документов), а также на публично освещаемую деятельность отечественных лидеров внедрения SDL-практик, таких например, как Лаборатория Касперского (можно ознакомиться с видео по ссылке).

Уважаемые коллеги!

Опубликована программа Открытой конференции ИСП РАН: https://www.isprasopen.ru/#Agenda

‼️ Напоминаем также, что сегодня, 24 ноября, – последний день регистрации на конференцию. Если вы собираетесь участвовать очно – обязательно зарегистрируйтесь, это необходимо для прохода в РАН:
https://www.isprasopen.ru/#Registration