ГОСТ Р ИСО/МЭК 27034-1—2014
ASC определяет и утверждает организация до разработки. Разработчикам больше не нужно про
ектировать их для каждого нового проекта приложения. Это обеспечивает уверенность в унифициро
ванном подходе организации к рассмотрению вопроса требований безопасности приложений.
Выбранные ASC должны, как минимум, включать все ASC. санкционированные группой ONF для
нулевого уровня доверия, определенного как минимальный уровень доверия, который примет органи
зация. ASC. санкционированные для нулевого уровня доверия, не должны меняться группой проекта
приложения в ходе его разработки.
8.3.3 Процессы, связанные с безопасностью приложения
В ANF должны быть включены все соответствующие процессы, связанные с определением, ме
неджментом и верификацией безопасности приложений, как описано в ИСО/МЭК 27034. Это детализа
ция компонента «процессы, связанные с безопасностью приложений» нормативной структуры органи
зации, описанного в 8.1.2.8.
8.3.4 Жизненный цикл приложения
Компонент жизненного цикла приложения обозначает этапы и мероприятия, выбранные из ONF
для определенного проекта приложения. Более конкретно, жизненный цикл приложений — это под
множество эталонной модели жизненного цикла безопасности приложений (см. 8.1.2.7). содержащейся
b
ONF.
Жизненный цикл приложений и стандартное содержание эталонной модели жизненного цикла
безопасности приложений обсуждались в 8.1.2.7.
Мероприятия и измерения, определяемыеASC. осуществляются посредством различных процес
сов. выполняемых в течение жизненного цикла приложения, с которыми уже знакомы группы, работаю
щие над проектом и занимающиеся верификацией.
Поэтому предпочтительным подходом является плавная интеграция ASC в качестве составной
части в используемые в течение жизненного цикла приложений процессы, а не в качестве отдельных
внешних мероприятий по обеспечению безопасности.
8.3.5 Процессы
8.3.5.1 Процессы, связанные с нормативной структурой приложений
Организациядолжна определять идокументально оформлять процессы создания, утверждения и
поддержкиANF. Должны быть определены роли, обязанности и необходимая профессиональная квали
фикация действующих субъектов, связанных с ANF организации для конкретного приложения.
Крайне важен процесс создания ANF для конкретного приложения. Этот процесс преобразует со
держащуюся в ONF общую информацию в конкретную информацию, необходимую ANF для определен
ного приложения и его требований.
Также как ASC в ONF связаны с этапами эталонной модели жизненного цикла безопасности при
ложений, так и ASC в ANF связаны с этапами жизненного цикла конкретного приложения.
8.3.5.2 Процесс обратной связи
Организация должна определить процесс постоянного совершенствования ONF через обратную
связь, обеспечивающую новые знания, предложения по совершенствованию мер и средств контроля и
управления безопасностью приложений и практические приемы, приобретенные в ходе разработки и
развертывания приложения.
Этот процесс обозначен на рисунке 3 как «Обеспечивает обратную связь для».
Этот процесс должен быть привязан к процессу поддержки ONF, обозначенному на рисунке 9 как
«Обратная связь от предыдущих и текущих проектов бизнеса и проектов приложений».
8.4 Подготовка к работе и эксплуатация приложений
8.4.1 Общая информация
Четвертый шаг ASMP включает развертывание специальных ASC. предоставленных ANF, и по
следующую деятельность в рамках проекта приложения. А именно, группа, работающая над проектом
приложения, реализует специальные мероприятия по обеспечению безопасности, описанные в части
«Мероприятия по обеспечению безопасности ASC» (см. 8.1.2.6.5.4), для каждой ASC. содержащейся в
ANF для данного приложения.
Для группы проекта и группы, занимающейся верификацией, этот шаг упрощается в результате
предоставления им только тех ASC. которые требуются для достижения целевого уровня доверия для
конкретного проекта. Этим группам не нужно знать процессы, указанные в ANF.
Руководители проектов увидят в ASC эффективное инструментальное средство, потому что в
ASC подробно изложены требуемые задачи, ресурсы и квалификация, затраты на каждую задачу в
человеко-днях и точный этап жизненного цикла, на котором должна выполняться каждая задача.
32