ГОСТ Р ИСО/МЭК 27034-1—2014
Нормативная структура приложении
Бмзиес-комтекст,
I
Регулятивный контекст.
связанныйсо средой связанныйсосредой
приложенияприложения
Технологиявский
контекст,связанный
со средой приложения
Действующие
Спецификациисубъекты приложения,
роли,обязанности,
квалификация
выбранные меры и средства контроля и управлениябезопасностью
приложений для жизненного цикла приложения
Процессы, связанныес безопасностью
приложения
Рисунок 10 — Нормативная структура приложений
8.3.2Компоненты
8.3.2.1 Бизнес-контекст, связанный со средой приложения
Все процессы бизнеса, методики, стандарты идействующие субъекты, вовлеченные в проект при
ложения, включая внешние процессы бизнеса, необходимые для обеспечения адекватной целостности
бизнеса в операционной среде, выводятся для приложения из бизнес-контекста ONF (см. 8.1.2.1) или
детализируются в ней.
8.3.2.2 Регулятивный контекст, связанный со средой приложения
Все правовые и регулятивные требования, применяемые там, где используется или развертыва
ется приложение, выводятся для приложения из регулятивного контекста ONF (см. 8.1.2.2) или детали
зируются в ней.
8.3.2.3 Технологический контекст, связанный со средой приложения
Все технологические компоненты приложения, такие как его архитектура, инфраструктура, про
токолы и языки, выводятся для приложения из технологического контекста ONF (см. 8.1.2.4) или дета
лизируются в ней.
8.3.2.4 Спецификации приложения
Спецификации приложений принимают форму функциональных и нефункциональных требова
ний и требований безопасности.
Должны быть перечислены и распределены по категориям все данные, используемые, хранимые,
вычисляемые, разделяемые или передаваемые приложением. В них включаются данные организации,
данные пользователей, конфигурационные данные, параметры и иные данные, используемые прило
жениями. В них также включаются любые выходные данные приложения.
8.3.2.5 Действующие субъекты приложения: роли, обязанности и квалификация
Должны быть определены все действующие субъекты, взаимодействующие с приложением в те
чение его жизненного цикла. Действующие субъекты включают ответственных за обеспечение безо
пасности. владельцев приложений, руководителей проектов, аудиторов, разработчиков архитектуры,
специалистов по тестированию, разработчиков, конечных пользователей, администраторов, админи
страторов баз данных и технических специалистов.
8.3.2.6 Выбранные ASC для жизненного цикла приложения
Согласно 8.1.2.6. точные и подробные ASC для конкретного проекта приложения выбираются из
библиотеки ASC организации в соответствии с приведенными ниже критериями:
a) целевой уровень доверия приложения;
b
) требования организации к приложению:
c) определенный контекст и спецификации приложения.
Каждая ASC представляет собой как мероприятие по обеспечению безопасности, осуществляе
мое группой проекта приложения для уменьшения конкретного риска безопасности, так и верификаци
онное измерение, осуществляемое занимающейся верификацией группой, для подтверждения, путем
изучения подкрепляющих свидетельств, того, что соответствующее мероприятие по обеспечению без
опасности успешно выполнено. Каждая ASC также предоставляет указатели на определенные этапы
жизненного цикла приложения, на которых должны осуществляться указанное мероприятие по
обеспе чению безопасности и верификационное измерение.
31