Отчет о соответствии ГОСТ Р 56939-2024

Обзор¶

CodeGraph генерирует комплексный отчет о соответствии ГОСТ Р 56939-2024 («Требования к разработке защищенного программного обеспечения»), оценивая все 25 процессов стандарта. Отчет агрегирует артефакты из анализа CPG, SARIF-отчетов, конфигурационных файлов, результатов тестирования, истории git и модели угроз в единый структурированный документ для прохождения аудита ФСТЭК.

Основные возможности:

• Автоматический сбор артефактов из 11 подсистем CodeGraph
• Оценка всех 25 процессов ГОСТ со статусами FULL/PARTIAL/GAP/N/A
• Матрица трассируемости: требование, код, тесты, находки, исправления
• Три формата вывода: Markdown, JSON, шаблон для аудитора ГОСТ
• Двуязычный вывод (русский и английский)
• Хранение истории оценок с вычислением дельты
• Хранилище на базе SQLite для анализа тенденций

Архитектура¶

ArtifactCollector ──> ProcessEvaluator ──> ReportRenderer
       │                     │                    │
  CPG, SARIF, git,    25 оценок процессов   Markdown / JSON / ГОСТ
  конфигурация,       (специализированные
  тесты, модель       или стандартная
  угроз               оценка)
       │                     │
TraceabilityMatrix    ComplianceStore
  CWE -> код ->        История SQLite
  тест -> находка      дельта между оценками

Компоненты¶

Процессы ГОСТ¶

Все 25 процессов раздела 5 ГОСТ Р 56939-2024:

Типы процессов¶

• автоматизированный — полностью оценивается анализом артефактов CodeGraph
• организационный — требует ручной оценки (по умолчанию Н/П)
• смешанный — частично автоматизирован, частично требует ручного ввода
• внешний — требует интеграции внешнего инструментария

Использование CLI¶

Генерация полного отчета¶

# Отчет в Markdown (по умолчанию)
python -m src.cli compliance gost-56939

# JSON-вывод
python -m src.cli compliance gost-56939 --format json

# Шаблон для аудитора ГОСТ
python -m src.cli compliance gost-56939 --format gost --language ru

# С матрицей трассируемости
python -m src.cli compliance gost-56939 --include-traceability

# Сохранить в файл и историю
python -m src.cli compliance gost-56939 --output report.md --save-history

# Вывод на английском
python -m src.cli compliance gost-56939 --language en

Чек-лист артефактов¶

# Все процессы
python -m src.cli compliance checklist

# Определенные процессы
python -m src.cli compliance checklist --process 5.7,5.10

# Формат JSON
python -m src.cli compliance checklist --format json

История и дельта¶

# Просмотр истории оценок
python -m src.cli compliance history --project myproject

# Сравнение двух оценок
python -m src.cli compliance delta --old abc123 --new def456

Матрица трассируемости¶

# Формат Markdown
python -m src.cli compliance traceability

# Формат JSON
python -m src.cli compliance traceability --format json --output trace.json

Конечные точки API¶

Все конечные точки доступны по префиксу /api/v1/compliance/gost-56939/.

Пример: получение отчета¶

curl http://localhost:8000/api/v1/compliance/gost-56939/myproject

Ответ:

{
  "project_name": "myproject",
  "compliance_score": 100.0,
  "gost_standard": "GOST R 56939-2024",
  "summary": {"full": 23, "partial": 0, "gap": 0, "n_a": 2},
  "processes": [...]
}

Инструмент MCP¶

codegraph_compliance_gost(
  action="evaluate",     # evaluate | checklist | traceability | history | delta
  format="markdown",     # markdown | json | gost
  language="ru",         # ru | en
  process_filter="",     # идентификаторы процессов через запятую
  include_traceability=false,
  report_id_old="",      # для действия delta
  report_id_new=""       # для действия delta
)

Конфигурация¶

# config.yaml
compliance:
  gost_56939:
    enabled: true
    auto_evaluate_on_audit: true
    store_history: true
    history_db_path: "data/compliance_history.sqlite"
    organizational_processes_status: "n_a"
    sarif_search_paths: ["data/", "reports/"]
    manual_overrides: {}     # например, "5.1": "partial"

Ручные переопределения¶

Для организационных процессов, требующих ручной оценки, задайте переопределения:

compliance:
  gost_56939:
    manual_overrides:
      "5.1": "partial"   # Планирование задокументировано
      "5.2": "full"      # Обучение проведено
      "5.22": "partial"  # Процессы поддержки определены

Расчет уровня соответствия¶

Уровень соответствия рассчитывается по формуле:

• FULL = 1,0 балла
• PARTIAL = 0,5 балла
• GAP = 0 баллов
• N/A = исключается из расчета

Формула: оценка = сумма(баллы) / количество(применимых) * 100%

Матрица трассируемости¶

Матрица трассируемости связывает:

1. Требования CWE с расположением в коде (из SARIF и CPG-находок)
2. Расположение в коде с тестовыми файлами (по соглашению именования, например, test_sql_injection.py связывается с CWE-89)
3. Находки со ссылками на исправления (хеши коммитов git)

Каждая запись имеет статус: covered (код + тесты), partial (только код или тесты), uncovered.

Специализированные оценщики¶

CodeGraph включает 25 специализированных оценщиков — по одному на каждый процесс ГОСТ:

Автоматизированные оценщики (10)¶

Эти оценщики определяют соответствие программно, анализируя данные CPG, отчеты SARIF, конфигурационные файлы и структуру проекта:

Организационные/смешанные/внешние оценщики (15)¶

Эти оценщики обрабатывают процессы, требующие ручной оценки или внешних инструментов. Поддерживают manual_overrides из конфигурации:

Реестр оценщиков¶

Все оценщики загружаются автоматически через build_evaluator_registry():

from src.compliance.gost_56939.evaluators import build_evaluator_registry

registry = build_evaluator_registry(manual_overrides={"5.1": "partial"})
# Возвращает Dict[str, BaseProcessEvaluator] со всеми 25 оценщиками

Форматы вывода¶

Интеграция с аудитом¶

При auto_evaluate_on_audit: true отчет о соответствии автоматически генерируется при выполнении составного аудита и включается в метрики аудита под ключом compliance_gost_summary.

Отслеживание изменений¶

Хранилище соответствия отслеживает историю оценок в SQLite. Дельта-отчеты сравнивают две оценки:

• improved — статус процесса повышен (например, GAP → PARTIAL)
• degraded — статус процесса понижен
• unchanged — статус без изменений

# Сравнение двух отчетов
python -m src.cli compliance delta --old <report_id_1> --new <report_id_2>

Дельта помогает отслеживать прогресс соответствия и выявлять регрессии перед аудитами.