ГОСТ Р ИСО/МЭК 27034-1—2014
Бизнес-контекст включает:
a) процессы менеджмента проекта, разработки, анализа риска, операционные процессы, процес
сы аудита и контроля;
b
) политику безопасности организации:
c) практические приемы в сфере бизнеса;
d) используемую организацией методику разработки.
e) лучшие практические приемы для всех языков программирования, используемых организаци
ей и перечисленных в технологическом контексте;
О формальный процесс менеджмента проекта организации;
д) применение организацией других необходимых международных стандартов, таких как
ИСО/МЭК 27001. ИСО/МЭК 27002 и ИСО/МЭК 15288.
8.1.2.2 Регулятивный контекст
Регулятивный контекст перечисляет и документирует любые законы или предписания в каждом
месте ведения бизнеса организацией, которые могут влиять на проекты приложений. Он включает за
коны, правила и предписания стран или юрисдикций, где разрабатывается и/или развертывается, и/или
используется приложение.
Организации, развертывающей и/или использующей одно и то же приложение в разных странах,
возможно, придется соответствовать требованиям безопасности каждой страны.
8.1.2.3 Репозиторий спецификаций приложений
Репозиторий спецификаций приложений перечисляет и документирует общие функциональные
требования ИТ организации и соответствующие заранее утвержденные решения. Спецификации при
ложений должны включать:
a) спецификации о том. каким образом приложения будут вычислять, хранить и передавать ин
формацию;
b
) обычные параметры приложений, функциональные возможности, услуги и требования;
c) исходный код. двоичный код, библиотеки и продукты или услуги, которые используются при
ложениями или на которых основаны приложения.
Дополнительные спецификации могут включать подробное описание взаимодействия приложе
ний с:
a) другими системами;
b
) рабочей инфраструктурой, от которой они зависят:
c) перечнем мер и средств контроля и управления безопасностью приложений в рабочей среде.
8.1.2.4 Технологический контекст
Технологический контекст содержит инвентарную опись всех продуктов ИТ. услуг и технологий,
доступных для проектов приложений организации. Эти продукты, услуги и технологии обуславливают
угрозы, которым подвергаются приложения.
Технологический контекст включает компьютеры, инструментальные средства, продукты и услуги
ИТ. коммуникационную инфраструктуру и другие технические устройства.
Пример 1— Технологический контекст, который может оказывать влияние на безопасность при
ложений, включает инфраструктуру клиент-сервер, веб-инфраструктуру, сетевую инфраструктуру,
среду разработки и инструментальные средства разработки.
Технологический контекст также обуславливает введение в приложение определенных мер и
средств контроля и управления безопасностью приложений.
Пример 2 — Если технологический контекст не включает механизм аутентификации TLS 1.01>для
поддержки функциональности ядвусторонняя аутентификация», то ASC на основе TLS 1.0 не могут
быть включены в приложение. Группе проекта придется выбирать альтернативные ASC для получе
ния функциональной возможности двусторонней аутентификации, если эта функциональная возмож
ность требуется на целевом уровне доверия приложения.
Технологический контекст должен включать.
а) технологии, доступные для проектов приложений организации.
Инвентарная опись таких технологий должна постоянно обновляться группой ONF через обратную
связь от предыдущих проектов приложений;
14
1) TLS (Transport Layer Security) — Протокол безопасности транспортного уровня.