ГОСТ Р ИСО/МЭК 27034-1—2014
Понятие мер и средств контроля и управления безопасностью широко используется в сфере ин
формационной безопасности. В ИСО/МЭК 15408-3 и NIST SP 800-53 опубликовано множество соответ
ствующих мер и средств контроля и управления безопасностью, являющихся широкодоступными.
ASC — это используемые в проектах приложений меры и средства контроля и управления
безопасностью, определенные с использованием структуры, которая представлена в последующих
подпунктах. В приложении В представлен пример, иллюстрирующий, как, используя структуру ASC,
можно описать меры и средства контроля и управления безопасностью из NIST SP 800-53.
Для организаций, реализующих концепцию сценариев обеспечения доверия в соответствии с
ИСО/МЭК ТО 15026-2. ASC полезны для упрощения менеджмента и своевременного предоставления
свидетельств, необходимых для поддержки заявлений и доводов о безопасности приложений. Даль
нейшая поддержка доводов обеспечивается последовательным использованием организацией пред
лагаемых настоящим стандартом процессов по созданию, утверждению и использованию каждой ASC.
Поскольку полная совокупностьASC. выбранных для проекта приложения, проистекает из анализа ри
ска безопасности приложений, то она напрямую поддерживает высокоуровневые заявления, обоснова
ния и доводы о безопасности приложений.
ASC могут использоваться для:
a) обеспечения безопасности компонентов приложений, включая программные средства, дан
ные, COTS и инфраструктуру;
b
) добавления мероприятий по обеспечению безопасности к процессам, используемым на раз
ных этапах жизненного цикла приложений;
c) проверки ролей, обязанностей и квалификации всех действующих субъектов, вовлеченных в
проект;
d) определения критериев для оценивания/приемки компонентов;
e) содействия в определении фактического уровня доверия приложений.
На рисунке 6 показано, что ASC предоставляют группе, работающей над проектом приложения,
мероприятия по обеспечению безопасности (т. е. снижение или ограничение конкретного риска безо
пасности). а группе, занимающейся верификацией, — верификационное измерение (т. е. подтверж
дение путем изучения подкрепляющих свидетельств, что соответствующее мероприятие обеспечения
безопасности успешно осуществлено).
Целевой уровень довериятребования безопасности
Рисунок 6 — КомпонентыASC
Относящаяся к мероприятиям обеспечения безопасности часть ASC определяет, как решаются
вопросы безопасности для проекта приложения.
Относящаяся к измерениям часть ASC определяет, как должны предоставляться свидетельства
того, что мероприятие осуществлено надлежащим образом, квалифицированным действующим лицом
и что получены ожидаемые результаты.
И мероприятия, и измерения предоставляют сведения о затратах, которые помогут организации в
оценивании и утверждении общих расходов на меры и средства контроля и управления безопасностью по
отношению к рассматриваемому целевому уровню доверия.
ASC могут быть связаны вместе по схеме так. что после выполнения мероприятий некоторой ASC
за ними могут следовать мероприятия дочерних ASC. Это свойствоASC полезно для:
а)предоставления только необходимой информации различным действующим субъектам, скры
вая ненужную сложность;
18