ГОСТ Р ИСО/МЭК 27034-1—2014
0 предоставления структуры, содействующей реализации мер и средств контроля и управления
безопасностью, определенных в ИСО/МЭК 27002 и других стандартах.
ИСО/МЭК 27034:
a) применяется к программным средствам, лежащим в основе приложений, и к факторам, способ
ным влиять на их безопасность, таким как данные, технология, процессы жизненного цикла приложе
ний. процессы поддержки и действующие субъекты:
b
) применяется к организациям любого типа и величины (например, к коммерческим предприяти
ям, государственным учреждениям, некоммерческим организациям), подвергающимся рискам, связан
ным с приложениями.
ИСО/МЭК 27034 не предоставляет:
a) рекомендации по физической безопасности и безопасности сети;
b
) типы измерения или меры и средства контроля и управления;
c) спецификации безопасного кодирования для любого языка программирования.
ИСО/МЭК 27034 не является:
a) стандартом по разработке прикладных программ:
b
) стандартом по менеджменту проектов приложений;
c) стандартом, касающимся жизненного цикла развития программных средств.
Указанные в ИСО/МЭК 27034 требования и процессы предназначены не для реализации по
отдельности, а скорее для интеграции в существующие процессы организации. Поэтому органи
зации должны сопоставлять свои существующие процессы и структуры с теми, которые предлагает
ИСО/МЭК 27034. облегчая, таким образом, осуществление применения ИСО/МЭК 27034.
В приложении А представлен пример того, как существующий процесс разработки программных
средств можно сопоставить с некоторыми компонентами и процессами ИСО/МЭК 27034. В общем, ор
ганизация в рамках любого жизненного цикла развития должна выполнить сопоставление, описанное в
приложении А. и добавить любые недостающие компоненты и процессы, которые необходимы для
соответствия ИСО/МЭК 27034.
0.3 Целевая аудитория
0.3.1 Общие сведения
ИСО/МЭК 27034 полезен для следующих групп лиц при осуществлении ими своих обозначенных
организационных ролей:
a) руководителей:
b
) членов групп подготовки к работе и эксплуатации;
c) лиц. отвечающих за приобретение;
d) поставщиков;
e) аудиторов:
0 пользователей.
0.3.2 Руководители
Руководители — это лица, задействованные в менеджменте приложений в течение их полного
жизненного цикла. Применяемые этапы жизненного цикла приложений включают этапы подготовки к
работе и этапы функционирования. К руководителям относятся:
a) ответственные за информационную безопасность,
b
) руководители проектов;
c) администраторы;
d) ответственные за приобретение программных средств:
e) руководители разработки программных средств;
0 владельцы приложений;
д) руководители среднего звена, которые руководят сотрудниками.
В обязанности руководителей входит:
a) обеспечить баланс между стоимостью реализации и поддержанием безопасности приложений
по отношению к рискам и представляемой ценностью приложений для организации,
b
) проверять рекомендации аудиторских отчетов относительно принятия или отклонения дости
гаемого и поддерживаемого приложением целевого уровня доверия:
c) обеспечивать уверенность в соблюдении стандартов, законов и предписаний на основе регуля
тивного контекста приложения (см. 8.1.2.2);
d) осуществлять надзор за реализацией безопасного приложения;
V