ГОСТ Р ИСО/МЭК 27034-1—2014
В ИСО/МЭК 27034 этот шаг принимает форму выбора целевого уровня доверия приложения, кото
рый. в свою очередь, определяет, какие ASC должны быть реализованы для обработки риска.
8.2.4 Целевой уровень доверия приложений
Целевой уровень доверия приложений способствует достижению уровня уверенности, необходи
мого организации для безопасного использования и развертывания приложения, после принятия оста
точных рисков, определенных в результате оценки риска.
Целевой уровень доверия приложения крайне важен для безопасности приложения, поскольку
он напрямую определяет соответствующие ASC. которые должны быть выбраны из библиотеки ASC и
реализованы во время жизненного цикла приложения.
Процессоценки риска порождает требования безопасности, устанавливаемыедля целевого уров
ня доверия приложения. Он. в свою очередь, становится целью для группы, работающей над проектом
приложения.
Целевой уровень доверия приложения должен быть одним из уровней доверия (или находиться в
диапазоне), определенных в библиотеке ASC организации (см. 8.1.2.6), являющейся частью ONF.
Библиотека ASC (см. рисунок 5) может быть представлена в виде таблицы, а целевой уровень до
верия приложения — в виде графы в этой таблице. Таким образом, выбор уровня доверия приводит к
выбору всех ASC в этой графе.
8.2.5 Принятие риска владельцем приложений
Владелец приложения несет ответственность за принятие остаточных рисков, связанных с кон
кретным приложением.
Владелец приложения выполняет эту обязанность двумя способами:
a) утверждая целевой уровень доверия приложения на втором шаге ASMP;
b
) утверждая результаты аудита безопасности приложений на пятом шаге ASMP. на котором про
изводится измерение фактического уровня доверия приложения и сопоставление его с целевым уров
нем доверия приложения. Этот шаг может быть запрошен в любое время владельцем приложения.
Для дополнительного подтверждения владелец приложения может потребовать выполнения этого шага
внешней группой, осуществляющей верификацию.
После принятия риска владельцем приложения за достижение целевого уровня доверия прило
жения отвечает группа проекта посредством реализации соответствующих ASC на соответствующих
этапах жизненного цикла приложения.
8.3Нормативная структура приложений
8.3.1 Общая информация
Нормативная структура приложений (ANF) — это подмножество или детализация ONF. содержа
щей только детальную информацию, которая необходима конкретному приложению для достижения
целевого уровня доверия, принятого владельцем приложения в ходе завершающего элемента второго
шага ASMP.
Требования безопасности в ANF выводятся из оценки рисков, связанных с использованием при
ложения организацией, которая осуществляется на втором шаге ASMP.
Для каждого проекта приложения создается ANF. наполняемая соответствующим бизнес-
контекстом. технологическим и регулятивным контекстами, спецификациями приложения и соответ
ствующими ASC.
ANF существует в течение жизненного цикла приложения и может развиваться с течением време
ни. Например, в ходе проекта может меняться регулятивный контекст приложения или владелец при
ложения может представить новый целевой уровень доверия группе, работающей над проектом
прило жения. В таких случаях организация может добавлять новые элементы в ANF или убирать их
из нее.
Изменения ANF влияют на безопасность приложений. Эти изменения должны соответствующим
образом утверждаться владельцем приложения.
ANF для конкретного проекта приложения содержит компоненты, рассмотренные ниже. На рисун
ке 10 показано графическое представление ANF.
30