ГОСТ Р ИСО/МЭК 27034-1—2014
7.3.2 Определение требований и среды приложений
Первым шагом ASMP является определение всех требований приложений, включая:
a) действующих субъектов;
b
) спецификации:
c) информацию;
d) среду.
Среда приложений состоит из.
a) технологического контекста:
b
) бизнес-контекста;
c) регулятивного контекста.
П р и м е ч а н и е — Контекст бопее детально представлен в 8.1.2.1—8.1.2.2.
Этот шаг соответствует шагу «определение контекста» в устанавливаемом ИСО/МЭК 27005 про
цессе менеджмента риска. Он предоставляет необходимую информацию для последующего шага
оценки риска.
7.3.3 Оценка рисков безопасности приложений
Второй шаг ASMP представляет собой процесс, соответствующий шагу «оценка риска» ичастично
шагу «обработка риска» в устанавливаемом ИСО/МЭК 27005 процессе менеджмента риска, с более
точным уровнем детальности и сферой действия, ограниченной одним проектом приложения.
Оценка риска состоит из идентификации риска, анализа риска и оценивания риска.
На этом шаге ASMP также создаются требования безопасности, которые используются для по
лучения желаемого уровня доверия для приложения. Он называется целевым уровнем доверия при
ложения (см. 8.2.4) и должен быть утвержден владельцем приложения.
Данный шаг также соответствует «выбору вариантов обработки риска», относящемуся к шагу «об
работка риска» в устанавливаемом ИСО/МЭК 27005 процессе менеджмента риска.
7.3.4 Создание и поддержка нормативной структуры приложений
На третьем шаге ASMP из ONF выбираются все необходимые элементы, применимые к конкрет
ному проекту приложения. Результатом является нормативная структура приложений (ANF). Точное со
держаниеANF определяет целевой уровеньдоверия приложений, контекст приложений (регулятивный,
технологический и бизнес-контекст), обязанности и профессиональную квалификацию действующих
субъектов, а также спецификации приложений.
Именно на этом шаге для проекта приложения организация устанавливает жизненный цикл, кото
рый включает только необходимые для этого проекта виды деятельности. Например, проект, полностью
разработанный внутри организации, не требует аутсорсинга.
Кроме того, организация выбирает для проекта приложения меры и средства контроля и управле
ния безопасностью приложений.
Данный шаг соответствует «подготовке и реализации планов обработки риска», относящихся к
шагу «обработка риска» в устанавливаемом ИСО/МЭК 27005 процессе менеджмента риска.
П р и м е ч а н и е — Этот шаг ASMP и его компоненты и процессы более детально представлены в 8.3.
7.3.5 Подготовка к работе и эксплуатация приложений
Четвертым шагом ASMP является фактическое использование мер и средств контроля и управ
ления безопасностью приложений, как предусмотрено ANF в жизненном цикле приложений. Группа
проекта реализует меры и средства контроля и управления безопасностью приложений согласно ANF.
используя:
a) часть действий по безопасности каждой ASC, осуществляемых соответствующим действую
щим субъектом, определенным вASC;
b
) часть измерений безопасности каждой ASC. осуществляемых соответствующим действующим
субъектом, определенным вASC.
Этот четвертый шаг соответствует «подготовке и реализации планов обработки риска», относя
щихся к шагу «обработка риска» в устанавливаемом ИСО/МЭК 27005 процессе менеджмента риска.
П р и м е ч а н и е — Этот шаг ASMP и его компоненты и процессы более детально представлены в 8.4.
7.3.6 Проведение аудита безопасности приложений
Пятым и завершающим шагом ASMP является аудит безопасности приложений.
На этом шаге осуществляющая верификацию группа проверяет проведение всех верификаци
онных измерений всеми ASC. включенными в нормативную структуру приложений, а также оценивает
достигнутые результаты.
12