ГОСТ Р ИСО/МЭК 27034-1—2014
Такие мероприятия обычно осуществляются как часть процессов в масштабах организации. Они
включают процессы проектирования систем из ИСО/МЭК 15288. например, процесс снятия с эксплуа
тации.
8.1.2.7.16 Аудит подготовки приложений к работе
Мероприятия по аудиту осуществляются для всей деятельности, всех действующих субъектов,
процессов, артефактов и компонентов приложений, используемых или создаваемых во время жизнен
ного цикла приложений.
Эти мероприятия могут выполняться единожды или периодически, внутренними или внешними
аудиторскими группами в зависимости от целевого уровня доверия проекта приложения. Они обеспечи
вают владельцу приложения необходимое доверие и свидетельства того, что требования безопасности
приложений выполняются, как ожидалось.
Мероприятия аудита, проводимые на этапе подготовки к работе, обычно отличаются от мероприя
тий аудита, осуществляемых на этапе эксплуатации. Организациям, разрабатывающим, но не эксплуа
тирующим приложения {таким как производители программных средств), может никогда не потребо
ваться проведение аудита приложений на этапе эксплуатации. Поэтому эталонная модель жизненного
цикла безопасности приложений предоставляет определенную сферу для мероприятий по аудиту, про
водимых на этапе подготовки к работе.
Такие мероприятия обычно осуществляются как часть процессов в масштабах организации. Они
включают процессы проектирования программных средств из ИСО/МЭК 12207, например, процесс
аудита программных средств.
8.1.2.7.17 Аудит эксплуатации приложений
Мероприятия по аудиту, проводимые на этапе эксплуатации, обычно отличаются от мероприятий
по аудиту, осуществляемых на этапе подготовки к работе. Организациям, только эксплуатирующим при
обретенные приложения, может никогда не потребоваться проведение аудита приложений на этапе
подготовки к работе. Поэтому эталонная модель жизненного цикла безопасности приложений предо
ставляет определенную сферу для мероприятий по аудиту, проводимых на этапе эксплуатации.
Такие мероприятия обычно осуществляются как часть процессов в масштабах организации. Они
включают процессы проектирования программных средств из ИСО/МЭК 12207, например, процесс ау
дита программных средств.
8.1.2.8 Процессы, связанные с безопасностью приложений
ONF представляет собой репозиторий всех используемых организацией процессов. В результате
все процессы, связанные с определением, менеджментом и верификацией безопасности приложений,
должны иметь надлежащим образом оформленное описание в ONF, включая:
a) все процессы, описанные в разделе 8 настоящего стандарта:
b
) все процессы, описанные в последующих частях ИСО/МЭК 27034;
c) все процессы, упоминаемые в ASC, такие как планы реагирования на инциденты, планы обе
спечения непрерывности бизнеса, процедуры проверки кода и процедуры тестирования уязвимостей.
8.1.3 Процессы, связанные с нормативной структурой организации
8.1.3.1 Общая информация
Контекст организации развивается с течением времени. В связи с этим следует поддерживать в
актуальном состоянии составляющие этот контекст компоненты ONF (например, бизнес-контекст, тех
нологический и регулятивный контексты, а также спецификации приложений).
Группа ONF должна определять, документально оформлять и санкционировать процессы созда
ния, утверждения и поддержки ONF и всех ее компонентов. Должны быть определены роли, обязанно
сти и необходимая профессиональная квалификация всех действующих субъектов, вовлеченных в эти
процессы. На рисунке 9 представлен общий обзор процесса, поддерживающего ONF.
Эти процессы упоминаются в настоящем стандарте и будут более детально обсуждаться в
ИСО/МЭК 27034-2.
26