ГОСТ Р ИСО/МЭК 27002-2012
сети.Напримерманипулированиебитамив пакетах протоколовсвязиможет
использоваться как скрытый метод передачи сигналов. Природа скрытых каналов такова,
что предотвратить существование всех возможных скрытых каналов затруднительно или
даже невозможно. Однако такие каналы часто используются «троянскими» программами
(см. 10.4.1). Следовательно, принятие мер по защите от «троянских» программ снижает
риск использования скрытых каналов.
Предотвращение неавторизованного доступа к сети (см. 11.4), а также политики и
процедуры, препятствующие неправильному использованию информационных услуг
персоналом (см. 15.1.5), способствуют защите от скрытых каналов.
12.5.5 Аутсорсинг разработки программного обеспечения
Мера и средство контроля и управления
Аутсорсинг разработки программного обеспечения должен быть под наблюдением
и контролем организации.
Рекомендация по реализации
Там, где для разработки программного обеспечения привлекается сторонняя
организация, необходимо учитывать следующее:
a) лицензионные соглашения, права собственности на программы и права
интеллектуальной собственности (см. 15.1.2);
b
) сертификацию качества и точности выполненной работы;
c) соглашения условного депонирования на случай отказа сторонней организации
выполнять свои обязательства;
d) права доступа с целью проверки качества и точности сделанной работы;
e) договорные требования к качеству и функциональной безопасности программ;
f) тестированиепрограммпередустановкойнапредметобнаружения
вредоносных и «троянских» программ.
12.6 Менеджмент технических уязвимостей
Цель: Снизить риски, являющиеся результатом использования опубликованных
технических уязвимостей.
145