ГОСТ Р ИСО/МЭК 27002-2012
Там, где сотрудники, отвечающие за разработку и тестирование, имеют доступ к
действующей системе и ее данным, они могут установить неавторизованную и
непротестированную программу или изменить рабочие данные. Применительно к ряду
систем, такая возможность могла бы быть использована для мошенничества или
установки непротестированной или вредоносной программы, что может являться
причиной серьезных проблем, связанных с эксплуатацией.
Разработчики и специалисты, проводящие тестирование, могут также быть
причиной угроз конфиденциальности эксплуатационной информации. Кроме того, если
разработка и тестирование производятся в одной компьютерной среде, это может стать
причиной непреднамеренных изменений программного обеспечения или информации.
Следовательно,разделениесредствразработки,тестированияиэксплуатации
целесообразно для уменьшения риска случайного изменения или неавторизованного
доступа к программному обеспечению и данным бизнеса среды эксплуатации (см. 12.4.2
на предмет защиты тестовых данных).
10.2 Менеджмент оказания услуг третьей стороной
Цель: Реализовывать и поддерживать соответствующий уровень информационной
безопасности и оказания услуг в соответствии с договорами об оказании услуг третьей
стороной.
Организация должна проводить проверку реализации договоров, осуществлять
мониторинг соответствияусловиямдоговорови управлениеизменениями для
обеспечения уверенности, в том, что оказанные услуги удовлетворяют всем требованиям,
согласованным с третьей стороной.
10.2.1 Предоставление услуг
Мера и средство контроля и управления
Необходимо обеспечивать уверенность в том, что меры и средства контроля и
управлениябезопасности,определениеуслуг и уровнипредоставленияуслуг,
включенные в договор о предоставлении услуг третьей стороной, реализуются,
функционируют и поддерживаются третьей стороной.
62