ГОСТ Р ИСО/МЭК 27034-1—2014
Часть 3 — Процесс менеджмента безопасности приложений
В части 3 представлено подробное описание процессов, вовлеченных в проект приложения; опре
деление требований и среды приложения, оценка риска безопасности приложения, создание и под
держка нормативной структуры приложения, реализация и введение в действие приложения и валида
ция его безопасности на протяжении всего жизненного цикла. В данной части объясняются взаимосвязи
этих процессов, их функционирование и взаимозависимости, а также введение ими безопасности в
проект приложения.
Часть 4 — Валидация безопасности приложений
В части 4 представлено углубленное описание процесса валидации безопасности приложений и
процесса сертификации, измеряющего фактический уровень доверия приложения и сравнивающего
его с целевым уровнем доверия, который заранее выбирается организацией.
Часть 5 — Структура данных управления безопасностью протоколов и приложений
В части 5 представлены протоколы и XML-схема для мер и средств контроля и управления
безопасностью приложений (ASC) на основе ИСО/МЭК ТУ 15000 «Расширяемый язык разметки для
электронного бизнеса (ebXML)». Данная часть может быть использована для содействия организациям
в валидации структуры данныхASC и других компонентов ИСО/МЭК 27034. а также для поддержки рас
пространения. обновления и использования ASC.
Часть 6 — Руководство по безопасности для конкретных приложений
В части 6 представлены примеры ASC. приспособленных к конкретным требованиям безопасно
сти приложений.
6 Введение в безопасность приложений
6.1 Общая информация
Обеспечение безопасности приложений — это процесс применения мер и средств контроля и
управления и измерений к приложениям организации с целью осуществления менеджмента риска, воз
никающего в результате их использования.
Меры и средства контроля и управления и измерения могут применяться к самому приложению
(его процессам, компонентам, программным средствам и результатам), его данным (конфигурацион
ным данным, данным пользователей, данным организации) и ко всей технологии, процессам и дей
ствующим субъектам, вовлеченным в жизненный цикл приложения.
6.2 Безопасность приложений в сравнении с безопасностью программных средств
Приложение — это решение в области ИТ. включающее программное средство (см. 3.3). Таким
образом, безопасность приложений является более широким понятием, охватывающим безопасность
программных средств.
6.3 Сфера действия безопасности приложений
6.3.1 Общие сведения
Безопасность приложений обеспечивает защиту критических данных, вычисляемых, используе
мых. хранимых и передаваемых приложением, как требуется организации. Эта защита обеспечивает
уверенность не только в доступности, целостности и конфиденциальности данных, но также в
неотказу-емости и аутентификации пользователей, имеющих к ним доступ. Критичность данных и
иных активов должна определяться организацией посредством процесса оценки риска безопасности.
Нуждающиеся в защите критические данные также могут представлять собой исходный код при
ложения. двоичный код и исполняемый код.
На рисунке 2 показано графическое представление сферы действия безопасности приложений в
виде области, ограниченной пунктирными линиями.
Это представление не означает, что все элементы в показанной выше сфере действия являются
частью приложения, а говорит о том, что все эти элементы требуют защиты для обеспечения безопас
ности приложения. Таким образом, сфера действия безопасности приложения является более широ кой.
чем сфера действия самого приложения. Приведенная ниже таблица иллюстрирует это отличие.
5