ГОСТ Р ИСО/МЭК 27034-1—2014
6.3.5 Процессы, связанные с приложениями
Должна обеспечиваться защита всех необходимых или существующих процессов организации,
затрагиваемых важными спецификациями и критическими данными приложений, таких как:
a) процессы использования и менеджмента;
b
) процессы сопровождения и резервного копирования;
c) процессы распространения и развертывания;
d) процессы, на которые влияют приложения или которые требуются приложениям.
6.3.6 Технологический контекст
Должна обеспечиваться защита всех продуктов и технологических компонентов, поддерживаю
щих важные спецификации или критические данные, таких как:
a) терминалы, сети и иные разрешенные периферийные устройства;
b
) операционная система, конфигурация и сервисы;
c) разрешенные каналы связи и порты;
d) COTS и иные продукты, такие как системы управления базами данных (СУБД), используемые
приложениями, и их технологическая инфраструктура;
e) модификация и иные процессы, связанные с технологическим контекстом;
f) продукты, на которые оказывают влияние приложения или которые используются приложениями.
6.3.7 Спецификации приложений
Должна обеспечиваться защита от несанкционированной модификации всех спецификаций при
ложений. таких как:
a) спецификации аппаратных средств;
b
) спецификации безопасности;
c) функциональные возможности приложений;
d) спецификации терминала клиента;
e) спецификации операционного отдела.
6.3.8 Прикладные данные
Должна обеспечиваться защита всей критической информации приложений, такой как.
a) конфигурационные данные приложений;
b
) двоичный код приложений;
c) исходный код приложений;
d) компоненты приложений и библиотек:
в) документация важнейших компонентов и функциональных возможностей приложений.
6.3.9 Данные организации и пользователей
Должна обеспечиваться защита всей критической информации, касающейся организации и поль
зователей. такой как:
a) сертификаты;
b
) секретные ключи;
c) необходимые для целевой задачи данные;
d) персональные данные;
e) пользовательские данные конфигурации.
6.3.10 Роли и полномочия
Должна быть обеспечена защита всей критической информации по управлению идентификацией
и полномочиями, такой как;
a) данные по управлению идентификацией;
b
) идентификационные и аутентификационные данные;
c) данные авторизации.
6.4 Требования безопасности приложений
6.4.1 Источники требований безопасности приложений
Согласно ИСО/МЭК 27005. требования безопасности приложений идентифицируются посред
ством оценки риска и обработки риска и диктуются такими факторами, как спецификации приложений,
целевая среда приложений (бизнес-контекст, регулятивный и технологический контексты), критические
данные и выбор, который долает владелец приложений.
Функциональные требования безопасности диктуют, какие функциональные возможности безо
пасности будут реализованы в приложении. Нефункциональные требования безопасности направлены
7