de.wedoany.com-Bericht: Der sechste Tag der Softwaresicherheit fand am 17. Juni in Moskau statt. Diese jährliche Praxiskonferenz, organisiert vom russischen Verband der Softwareprodukte (АРПП «Отечественный софт»), brachte über 100 IT-Unternehmensleiter, technische Direktoren, AppSec-Experten, Vertreter von Aufsichtsbehörden und Mitglieder der Wissenschaft zusammen. Die Konferenz wurde vom russischen Entwickler von Cybersicherheitslösungen, UserGate, unterstützt und konzentrierte sich auf Themen wie den Einsatz von Künstlicher Intelligenz in der Entwicklung, die Sicherheit von Open-Source-Komponenten, den Schutz der Software-Lieferkette, DevSecOps-Praktiken und die Entwicklung sicherer Entwicklungsprozesse.
Renat Lashin, Geschäftsführer des russischen Verbands der Softwareprodukte, wies in seiner Eröffnungsrede darauf hin, dass die Beteiligung von IT-Unternehmen an der Konferenz seit Beginn der Veranstaltung um mehr als das Zehnfache gestiegen sei. Die Branche bewege sich von der Diskussion über Anforderungen und Standards hin zum Austausch praktischer Erfahrungen bei der Integration sicherer Entwicklungspraktiken. Ziel des Verbands sei es, den Dialog zwischen Entwicklern, Kunden, Experten und Aufsichtsbehörden zu fördern.
Dmitry Kurashev, Mitbegründer und Direktor von UserGate, erklärte, dass Codesicherheit ein grundlegendes Prinzip seines Unternehmens sei. UserGate plane, in naher Zukunft das Zertifizierungsverfahren für Softwaresicherheitsstandards abzuschließen, um die Reife der internen Prozesse und die Sicherheit der Lösungen nachzuweisen.
Roman Karpov, Moderator der Konferenz, Leiter des Ausschusses für Informationssicherheit des russischen Verbands der Softwareprodukte und Generaldirektor von Axiom JDK, erwähnte, dass der Verband auf der Grundlage der Konferenzergebnisse Unterstützung in drei Bereichen bieten werde: Umsetzung von Praktiken gemäß den Anforderungen der Föderalen Dienststelle für technische Exportkontrolle (ФСТЭК), Durchführung von Audits nach GOST 56939-2024 und Vorbereitung von Dokumenten für die vierte Vertrauensstufe. Der Verband plane die Entwicklung eines gezielten Unterstützungsprogramms für sichere Entwicklung, um Unternehmen von der bloßen Aufmerksamkeit zur tatsächlichen Umsetzung zu bewegen.
In einer speziellen Sitzung wurden die regulatorischen und methodischen Grundlagen der sicheren Entwicklung erörtert. Anastasia Sakulina, Beraterin der russischen Zentralbank, stellte dar, dass Abschnitt 7.4 der neuen Version des Schutzprofils an den nationalen Standard für sichere Entwicklung angeglichen wurde. Die Anforderungen an den sicheren Softwareentwicklungslebenszyklus seien detaillierter und überprüfbarer geworden. Die russische Zentralbank plane, die Anforderungen entsprechend der technologischen Entwicklung zu ergänzen.
Elena Sosnina, Expertin am Institut für Systemprogrammierung der Russischen Akademie der Wissenschaften (ИСП РАН), stellte die Informationsressource РБПО.РФ vor, die methodische Materialien und Standarddokumente zur Umsetzung sicherer Entwicklungsprozesse bündelt. Kunden begännen, Anforderungen gemäß den nationalen Standards in Ausschreibungsunterlagen aufzunehmen, und Organisationen stünden vor der Frage, wie sie diese erfüllen und nachweisen können.
Alexey Khoroshilov, Leiter des Forschungszentrums für Systemsicherheit am Institut für Systemprogrammierung der Russischen Akademie der Wissenschaften, wies darauf hin, dass die Sicherheitsforschung von Open-Source-Komponenten spezielle Methoden erfordere. Die Anforderungen müssten für spezifische Technologie-Stacks und Architekturkomponenten verfeinert werden und Bereiche wie Angriffsflächenanalyse, Abhängigkeitsanalyse, statische Analyse, dynamische Tests, Fuzzing und den Einsatz von Sanitizern abdecken. Allgemeine Methoden könnten keine präzisen Standards für alle Anwendungsfälle liefern; die Branche benötige detailliertere, spezifische Methoden.
Vertreter mehrerer Unternehmen teilten ihre Erfahrungen mit der Implementierung sicherer Entwicklung und dem Einsatz von Werkzeugen. Sergey Nelyub, technischer Direktor von ASTRA AI, stellte intelligente Systeme zur Codegenerierung vor. Fedor Bogoslovsky, Applikationssicherheitsingenieur bei UserGate, berichtete über die Erweiterung der Abdeckung von Linux-Kernel-Subsystemen in syzkaller. Leonid Bezvershenko, Senior Threat Researcher bei Kaspersky GReAT, analysierte Praktiken von Software-Lieferkettenangriffen und Schwachstellenausnutzung. Weitere Beiträge befassten sich mit typischen Fehlern bei der Zertifizierung sicherer Entwicklung, der Einrichtung eines einheitlichen Vertrauensraums, Sicherheitsentwicklungswerkzeugen für Cloud-Git-Plattformen, BYOK-Verschlüsselungsmethoden, sicheren Softwareentwicklungspipelines, dem Einsatz von KI in der sicheren Entwicklung und ASOC als Ausgangspunkt für sichere Entwicklung.
Die Konferenz bestätigte das wachsende Interesse der Branche an Fragen der Softwaresicherheit und die Bereitschaft der Unternehmen zur praktischen Umsetzung. Der russische Verband der Softwareprodukte plant, den nächsten Tag der Softwaresicherheit im Dezember 2026 auszurichten.
Technologiepartner: „Truconf“.
Informationspartner: „Cybermedia“, die Zeitschrift „Informationssicherheit“, BIS Journal – Unternehmensinformationssicherheit, RUSSOFT, APKIT.
Der russische Verband der Softwareprodukte ist der größte Zusammenschluss von Herstellern replizierbarer Software in Russland. Der Verband wurde 2009 von russischen Entwicklern gegründet und umfasst über 300 IT-Unternehmen mit einem Gesamtumsatz von 570 Milliarden Rubel, was 30 % der gesamten replizierbaren Softwarebranche ausmacht. Seit 17 Jahren hat sich der Verband zu einem Kompetenzzentrum für den Aufbau des regulatorischen Rahmens im Bereich Importersatz und zu einer Plattform für den direkten Dialog mit dem Staat entwickelt.
Dieser Artikel wurde von Wedoany übersetzt und bearbeitet. Bei jeglicher Zitierung oder Nutzung durch künstliche Intelligenz (KI) ist die Quellenangabe „Wedoany“ zwingend vorgeschrieben. Sollten Urheberrechtsverletzungen oder andere Probleme vorliegen, bitten wir Sie, uns unverzüglich zu benachrichtigen. Wir werden den entsprechenden Inhalt umgehend anpassen oder löschen.
E-Mail: news@wedoany.com
