ГОСТ Р ИСО/МЭК 27034-1—2014
Комбинация кураторских ролей: Роль куратора по обеспечению безопасности может быть объединена с
ролью куратора по обеспечению приватности при условии, что может быть определено лицо с соответ
ствующими навыками и опытом.
Руководители групп: Данные роли должны выполняться специалистами в соответствующей области, кото
рые будут представлять группу разработки проекта на обсуждениях с кураторами по обеспечению безопасности и
приватности. Эта роль отвечает за обсуждение, принятие и отслеживание минимальных требований безопасности
и поддержку четкой связи с кураторами и другими принимающими решениями лицами во время работы над про
ектом по разработке программных средств.
a) Руководители группы по вопросам безопасности: Это лицо (или группа лиц) не несет единоличной
ответственности за обеспечение уверенности в том. что выпуск программного продукта учитывает все вопросы
безопасности, однако оно отвечает за координацию и отслеживание вопросов безопасности для проекта. Лицо,
выполняющее эту роль, также несет ответственность за состояние отчетности перед куратором по обеспечению
безопасности и другими заинтересованными сторонами (например, руководителями разработки и тестирования) из
группы проекта:
b
) Руководители группы по вопросам приватности: Это лицо (или группа лиц) не несет единоличной
ответственности за обеспечение уверенности в том. что выпуск программного продукта учитывает все вопросы
приватности, однако оно отвечает за координацию и отслеживание вопросов приватности для проекта. Лицо, вы
полняющее эту роль, также несет ответственность за состояние отчетности перед куратором по обеспечению при
ватности и другими заинтересованными сторонами (например, руководителями разработки и тестирования) из
группы проекта.
А.9 Библиотека ASC организации
8.1.2.6 Организация должна определить, по крайней мере, одну библиотеку мер и средств контроля и
управления безопасностью приложений. Эта библиотека называется Библиотекой мер и средств контроля и
управления безопасностью приложений (библиотека ASC). В ней перечисляются и документируются все при
знанные организацией ASC. Эти ASC выводятся из стандартов, лучших практических приемов, ролей, обязан
ностей и профессиональной квалификации, бизнес-контекста, технологического и регулятивного контекстов, а
также спецификаций приложений.
Как часть иллюстрируемого ниже процесса SDL было идентифицировано семнадцать ASC. Этот пример
включает как обязательные, так и необязательные задачи. Необязательные задачи ASC могут добавляться бизнес-
подразделениями в случае необходимости достижения желаемых целей безопасности и приватности. ASC. изо
браженные на рисунке А.З. представлены в порядке их появления с использованием традиционной каскадной
модели разработки. Для краткости полное обсуждение каждой ASC опущено.
Крайняя слева ASC может считаться «корневой» ASC — по существу «родительским узлом» детальной дре
вовидной схемы ASC. показанной на рисунке А.З. Эта иллюстрация показывает, что организация может применять
ASC с возрастающими уровнями сложности и детальности, чтобы соответствовать целевому уровню доверия для
приложения, который организация выбирает до начала проекта приложения.
РисунокА.З — Пример древовидной схемы ASC
42