ГОСТ Р ИСО/МЭК 27034-1—2014
6.8 Меры и средства контроля и управления и их цели
В соответствии с ИСО/МЭК 27001 для выполнения требований, определенных процессами оценки
и обработки риска, должны быть выбраны и реализованы меры и средства контроля и управления и
их цели. В сфере безопасности приложений процесс оценки риска устанавливает цели мер и средств
контроля и управления согласно требованиям безопасности приложений.
7 Общие процессы ИСО/МЭК 27034
7.1 Компоненты, процессы и структуры
ИСО/МЭК 27034 предоставляет компоненты, процессы и структуры, необходимые организациям в
приобретении, реализации и использовании надежных приложений с допустимыми (или приемлемыми)
расходами на безопасность. Более того, эти компоненты, процессы и структуры обеспечивают под
дающиеся проверке свидетельства того, что приложения достигли и поддерживают целевой уровень
доверия.
Все компоненты, процессы и структуры являются частью двух общих процессов, взаимосвязь ко
торых показана на рисунке 3:
a) процесса менеджмента ONF;
b
) процесса менеджмента безопасности приложений (ASMP).
Эти два процесса используются в организации на разных уровнях и в различных временных рам
ках и имеют разные сферы действия. Процесс менеджмента ONF представляет собой постоянный про
цесс на уровне организации, a ASMP используется для осуществления менеджмента безопасности кон
кретных проектов приложений.
7.2 Процесс менеджмента ONF
ПроцессменеджментаОМРдолжениспользоватьсядляменеджментасвязанныхсбезопасностью
приложений аспектов ONF {см. 8.1). ONF включает все процессы, вовлеченные в безопасность при
ложений. а также предписания, законы, лучшие практические приемы, роли и обязанности, принятые
организацией. Она определяет все виды контекста организации и является уникальной ссылкой для
безопасности приложений в организации.
П р и м е ч а н и е 1 — Организация обычно использует свою нормативную структуру для других целей,
выходящих за пределы области применения ИСО/МЭК 27034. у нее обычно есть определенные процессы для осу
ществления менеджмента. Таким образом. ONF и процесс ее менеджмента, созданные для целей ИСО/МЭК 27034,
являются подмножеством существующей ONF и связанных с ней процессов.
Процессы, связанные с безопасностью приложений, должны быть частью ONF.
Надзор и ответственность за поддержку и утверждение связанных с безопасностью приложений
компонентов ONF должны осуществляться организационной ролью, называемой в ИСО/МЭК 27034
«группой ONF».
П р и м е ч а н и е 2 — Процесс менеджмента ONF и его компоненты и подпроцессы более детально пред
ставлены в 8.1.3.2. а также в ИСО/МЭК 27034-2.
7.3 Процесс менеджмента безопасности приложений
7.3.1 Общие сведения
Процесс менеджмента безопасности приложений — суммарный процесс осуществления менед
жмента безопасности для каждого используемого организацией приложения. В приложении С показа но,
что ASMP представляет собой конкретизацию представленного в ИСО/МЭК 27005 процесса менед
жмента риска.
Процесс менеджмента безопасности приложений включает пять шагов:
a) определение требований и среды приложений:
b
) оценка рисков безопасности приложений:
c) создание и поддержка нормативной структуры приложений;
d) подготовка к работе и эксплуатация приложений:
e) аудит безопасности приложений.
П р и м е ч а н и е — ASMP более детально представлен в разделе 8. а также в ИСО/МЭК 27034-3.
10