ГОСТ Р ИСО/МЭК 27034-1—2014
b
) технологии, требуемые приложением.
Перечень новых технологий проистекает из новых функциональных требований, определенных в ходе
начального планирования проекта приложения. Такие требования должны добавляться в ONF, и ор
ганизационный процесс должен обеспечивать уверенность в том, что характеристики безопасности
технологий, нацеленных на выполнение новых требований, поняты и документально оформлены до
утверждения их включения в инвентарную опись технологий организации:
c) доступные технологии.
Данные технологии выявляются в результате исследований, анализа тенденций и мониторинга техно
логий.
8.1.2.5 Роли, обязанности и квалификация
ONF должна содержать.
a) перечни и описания всех ролей, обязанностей и необходимой профессиональной квалифика
ции всех действующих субъектов, участвующих в создании и поддержке ONF, и/или ролей по созданию
и поддержке ASC;
b
) перечни и описания всех ролей, обязанностей и необходимой профессиональной квалифика
ции всех действующих субъектов, вовлеченных в жизненный цикл приложений, таких как ответствен
ные за информационную безопасность, руководители проектов, администраторы, лица, занимающие
ся приобретением программных средств, руководители разработки программных средств, владельцы
приложений, руководители пользователей, разработчики архитектуры, аналитики, программисты, спе
циалисты по тестированию, системные администраторы, администраторы баз данных, сетевые адми
нистраторы и технический персонал.
Политика в масштабах организации будет способствовать обеспечению уверенности в том. что
все критические роли для всех процессов распределены, все обязанности определены, конфликты ин
тересов предотвращены, а назначенные на роли лица обладают достаточной профессиональной ква
лификацией.
8.1.2.6 Библиотока ASC организации
8.1.2.6.1 Общие сведения
Организация должна определить, по крайней мере, одну библиотеку мер и средств контроля и
управления безопасностью приложений. Эта библиотека называется Библиотекой мер и средств кон
троля и управления безопасностью приложений (библиотека ASC). В ней перечисляются и документи
руются все признанные организацией ASC. Эти ASC выводятся из стандартов, лучших практических
приемов, ролей, обязанностей и профессиональной квалификации, бизнес-контекста, технологическо го
и регулятивного контекстов, а также спецификаций приложений.
Меры и средства контроля и управления безопасностью приложений в рамках этой библиотеки си
стематизированы и образуют некоторые совокупности в соответствии с обеспечиваемым ими уровнем
защиты от угроз безопасности. Каждая совокупность получает метку, называемую «уровнем доверия»,
которая информирует руководителей об уровне безопасности, обеспечиваемом конкретной определен
ной совокупностью мер и средств контроля и управления безопасностью приложений. Если совокуп
ность мер и средств контроля и управления безопасностью приложений описывается как имеющая
низкий уровень доверия, то она обеспечивает низкий уровень защиты информационной безопасности.
Если совокупность мер и средств контроля и управления безопасностью приложений описывается как
имеющая высокий уровень доверия, то она обеспечивает высокий уровень защиты. Уровни доверия
описаны далее в 8.1.2.6.4.
Из библиотеки ASC организации выбираются точные и подробные ASC для каждого конкретного
проекта приложения.
8.1.2.6.2 Пример библиотеки ASC организации
На рисунке 5 показан простой пример библиотеки ASC организации. Организация в этом при
мере разрабатывает приложения для авиационной сферы. Библиотека содержит все меры и средства
контроля и управления безопасностью приложений, которые нужны организации для реализации функ
циональных возможностей, лучших практических приемов, стандартов, применяемых законов и пред
писаний.
В этом примере организация определила две спецификации приложений: безопасное протоко
лирование и онлайновые платежи. Бизнес-контекстом для данной организации является авиационная
сфера, и организация реализует стандарт безопасности данных индустрии платежных карт (PCI-DSS).
Регулятивный контекст налагает необходимость соответствия определенным законам обеспечения
15