ГОСТ Р ИСО/МЭК 27034-1—2014
8.1.3.3Подпроцессы менеджмента ONF
Все связанные с безопасностью приложений процессы должны быть частью ONF. Они также
должны соответствовать СМИБ организации. В таблице 2 показано, как связанные с безопасностью
приложений подпроцессы менеджмента ONF соответствуют четырем этапам процесса СМИБ.
Т а б л и ц а 2 — Соответствие СМИБ подпроцессам менеджмента ONF. связанным с безопасностью приложений
Процесс СМИБ
Подпроцесс менеджмента ONF
Планирование
Проектирование ONF
Осуществление
Реализация ONF
Проверка
Мониторинг и проверка ONF
Действие
Постоянное совершенствование ONF
Как показано в таблице 2. процесс менеджмента ONF можно разделить на следующие подпро
цессы:
а) проектирование ONF: установление связанных с безопасностью приложений компонентов
ONF, включая ASMP, библиотеку ASC и все связанные с ними процессы:
1) определение и документирование возможного контекста (регулятивного, технологического
и бизнес-контекста), в котором будет использоваться приложение;
2) создание, документирование и поддержка репозитория спецификаций приложений:
a) анализ спецификаций для каждого нового приложения на этапе поставки:
b
) анализ спецификаций существующих в организации приложений;
3) определение действующих субъектов и процессов:
a) анализ и документирование лиц и процессов, вовлеченных в полный жизненный цикл
приложений;
b
) определение (или разработка) и утверждение формальной методологии анализа риска
на уровне приложений, основанной на ИСО/МЭК 27005;
4) анализ лучших практических приемов и стандартов, таких как ИСО/МЭК 12207,
ИСО/МЭК 15288 и ИСО/МЭК 15026. и определение на основе этого анализа ASC;
a) создание и обновление ASC.
Создание или обновление ASC для учета конкретных требований безопасности происходит,
когда это необходимо организации.
Специалисты в соответствующих сферахдолжны определять мероприятие по обеспечению
безопасности и верификационное измерение, как обсуждалось в 8.1.2.6.5.
Пример 1 — ASC, необходимые для обеспечения безопасности системной программы,
должны создаваться или обновляться главным программистом, знающим конкретный
язык программирования.
Пример 2 — ASC. необходимые для соблюдения процесса менеджмента идентифика
торов приложений, должны создаваться или обновляться специалистом в сфере менед
жмента идентификаторов;
b
) валидация и интеграция ASC.
Осуществляющая верификацию группа, состоящая из высшего руководства, специалистов-
разработчиков. персонала ИТ и аудиторов, должна отвечать за валидацию ASC, обеспечи
вая уверенность в том. что использующие их лица четко понимают ASC и что данные ASC
действительно уменьшают определенный риск. Данная группа также должна определить,
для каких заданных уровней доверия требуется данная ASC.
Ответственность за утверждение всех ASC несет группа ONF;
5) анализ, сопоставление с эталонной моделью жизненного цикла безопасности приложений и.
в случав необходимости, адаптация текущей модели жизненного цикла приложений органи
зации и других процессов:
6) определение и реализация библиотеки ASC организации;
7) приобретение (или разработка), обновление и валидация необходимых организации ASC,
интеграция их в библиотекуASC:
28