ГОСТ Р ИСО/МЭК 27034-1—2014
Данный шаг соответствует шагу «мониторинг и проверка» в устанавливаемом ИСО/МЭК 27005
процессе менеджмента риска.
П р и м е ч а н и е — Этот шаг ASMP и его компоненты и процессы более детально представлены в 8.5.
8 Общие понятия
8.1 Нормативная структура организации
8.1.1 Общая информация
Нормативная структура организации (ONF) — это структура, позволяющая сохранять признанные
организацией лучшие практические приемы безопасности приложений, уточнять или извлекать их. Она
включает важнейшие компоненты, процессы, использующие эти компоненты, и процессы менеджмента
самой ONF.
ONF представляет собой основу безопасности приложений в организации, на ней базируются все
решения организации, связанные с безопасностью приложений. Например, проверка кода может осу
ществляться как обязательная мера и средство контроля и управления безопасностью приложений
только в том случае, если в ONF существует руководство по кодированию.
Как показано на рисунке 3. ONF предоставляет основную входную информацию для ASMP. осу
ществляемого для каждого проекта приложения в организации.
На рисунке 4 показано высокоуровневое представление контента ONF.
Нормативная структура организации
Бизнес-контекст
Регулятивный
контекст
Технологический
контекст
Репозиторий
СП013ИфИКЗЦИЙ
приложений
Роли,
обязанности
квалификация
Библиотека мер исредств контроля
и управления безопасностью приложений
организации
!
Процессы, связанные
с безопасностью приложений
Эталонная модель жизненного цикла безопасности приложений
Рисунок 4 — Нормативная структура организации (упрощенная)
Для надлежащего решения вопросов безопасности приложений у организации должна быть фор
мальная ONF, содержащая следующие компоненты:
a) бизнес-контекст:
b
) регулятивный контекст;
c) технологический контекст;
d) репозиторий спецификаций приложений.
e) роли, обязанности, квалификация;
0 библиотека ASC организации;
д) процессы, связанные с безопасностью приложений:
h) эталонная модель жизненного цикла безопасности приложений.
Формальная ONF должна также содержать:
a) процесс менеджмента ONF;
b
) подпроцессы менеджмента ONF.
8.1.2 Компоненты
8.1.2.1 Бизнес-контекст
Бизнес-контекст перечисляет и документирует все принятые организацией стандарты и лучшие
практические приемы, которые могут оказывать влияние на проекты приложений.
13