ГОСТ Р ИСО/МЭК 27034-1—2014
е)когда: указание на определенную деятельность на этапе эталонной модели жизненного цикла
безопасности приложений (см. 8.1.2.7), когда должно осуществляться данное измерение. При необхо
димости это измерение может осуществляться периодически;
0 сколько: расчетная стоимость выполнения одного верификационного измерения.
8.1.2.7 Эталонная модель жизненного цикла безопасности приложений
8.1.2.7.1 Общая информация
Организация, бизнес которой включает разработку, аутсорсинг или приобретение приложений,
обычно использует структуру определенных процессов или деятельности, систематизированную по
этапам. Эта структура обычно называется «моделью жизненного цикла». Но в зависимости от контек ста
ее еще называют «моделью жизненного цикла приложений», либо «моделью жизненного цикла
систем», либо «моделью жизненного цикла программных средств». Это не новое понятие, введенное
ИСО/МЭК 27034. его определение можно найти в ИСО/МЭК 12207 и ИСО/МЭК 15288.
Такая модель обычно уникальна для конкретной организации и приспособлена к ее требованиям.
Она используется и совершенствуется в течение многих лет.
Жизненный цикл определенного приложения, т. е. развитие приложения от замысла до снятия с
эксплуатации, представляет собой конкретизацию модели жизненного цикла организации.
В организациях со сложной структурой различные группы, возможно, будут использовать разные
модели жизненного цикла приложений для разных проектов. Так часто происходит в крупныхдецентра
лизованных организациях или организациях, сформированных путем слияния. В других организациях
будут разрабатываться различные специализированные модели жизненного цикла приложений, отно
сящиеся к определенному контексту приложений, например, веб-приложения, приложения, работаю
щие в режиме реального времени, встроенные приложения, медицинские приложения и т.д.
Мероприятия, осуществляемые на различных этапах жизненного цикла программных средств
или систем, являются частью процессов в масштабах организации, которые должны соответство
вать нормативным требованиям, представленным в ИСО/МЭК 12207 и ИСО/МЭК 15288. Кроме того, в
ИСО/МЭК ТО 24748 представлено дополнительное руководство и описаны модели жизненного цикла
разработки систем и программных средств, этапы жизненного цикла и их связь с процессами жизнен
ного цикла.
ИСО/МЭК 27034 не рекомендует изменять модели жизненного цикла приложений организации.
Вместо этого ИСО/МЭК 27034 рекомендует добавлять к деятельности, обычно выполняемой на этапах
определяемой организацией модели жизненного цикла приложений, мероприятия, называемые «мера
ми и средствами контроля и управления безопасностью приложений» (ASC).
Как ранее отмечалось в 8.1.2.6.5. ASC включают указатели на определенные моменты этапа жиз
ненного цикла, соответственно определяя, «когда» должны выполняться мероприятия по обеспечению
безопасности и верификационные измерения.
В настоящее время существует много моделей жизненного цикла программных средств и систем,
из которых организация может делать выбор с учетом своих внутренних потребностей. Упоминание
их всех или выделение более предпочтительных в ИСО/МЭК 27034 невозможно и нежелательно. Со
ответственно невозможно включить в стандарт ASC. напрямую указывающую на этап, процесс
или мероприятие в конкретной модели жизненного цикла. Это сделало бы концепцию ASC ИСО/МЭК
27034 менее доступной для широкого круга организаций.
В настоящем стандарте представлена эталонная модель жизненного цикла безопасности прило
жений в качестве стандартизированной ссылки для добавленияASC к мероприятиям, осуществляемым
для менеджмента приложений, подготовки к работе и эксплуатации приложений, менеджмента инфра
структуры и аудита приложений. Данная модель является представлением общих этапов и мероприя
тий. обычно присутствующих в моделях жизненного цикла приложений.
Эталонная модель жизненного цикла безопасности приложений не ограничивается разработкой
программных средств. Она также затрагивает мероприятия из других сфер, таких как корпоративное
управление, поддержка программных средств и инфраструктуры, менеджмент проектов, аудит и кон
троль.
Цель эталонной модели жизненного цикла безопасности приложений состоит в:
a) содействии организации в подтверждении правильности каждой модели жизненного цикла ее
приложений путем определения всех процессов идействующих субъектов, потенциально вовлеченных в
обеспечение безопасности приложений:
b
) содействии организации в обеспечении уверенности в том, что вопросы безопасности надле
жащим образом рассматриваются на всех этапах жизненного цикла приложений;
21