ГОСТ Р ИСО/МЭК 27034-1—2014
b) FSR пройдена с исключительными ситуациями — все проблемы безопасности и приватности,
идентифицированные в ходе FSR. решены; те. которые не могут быть решены (например, уязвимости,
представленные проблемами на уровне проектирования), фиксируются и будут исправлены в следующей
версии;
c) FSR с расширением — если группа не выполняет все требования SDL. а куратор по обеспечению
безопасности и отвечающая за продукт группа не могут достичь допустимого (или приемлемого) ком
промисса. то куратор по обеспечению безопасности не может утвердить проект и выпуск не может быть
осуществлен. Группы должны либо решить вопросы всех возможных требований SDL до выпуска, либо
обратиться к руководству для принятия решения.
П р и м е ч а н и е — Результат FSR близок к концепции фактического уровня доверия, так как
FSR — это продуманное изучение всех мероприятий по обеспечению безопасности, реализованных для
прикладных программных средств до их выпуска;
17)Выпуск/Архив: Выпуск программного средства в производство (RTM — Read The Manual) или в веб
сеть (RTW — Ready-To-Wear) обуславливает завершение процесса SDL. Назначенный куратор по обеспечению
безопасности должен подтвердить, что группа проекта удовлетворила требования безопасности в отношении вы
пускаемого средства. Аналогичным образом для всех продуктов, имеющих, по крайней мере, один компонент с
высоким риском приватности Р1. куратор по обеспечению приватности должен подтвердить до отправки программ
ного продукта, что группа проекта удовлетворила требования приватности.
Кроме того, должно быть проведено архивирование всей относящейся к делу информации и данных, что
бы после выпуска могло осуществляться обслуживание программного средства; включая все спецификации, ис
ходный код. двоичный код. символы, модели угроз, планы реагирования на инциденты и любые друтие
данные, необходимые для осуществления задач по обслуживанию после выпуска.
А.10 Аудит безопасности приложений
8.5.1 Цель пятого шага ASMP состоит в верификации и формальном фиксировании подтверждающих сви
детельств достижения и поддержания конкретным приложением целевого уровня доверия приложения.
Данный шаг ASMP может выполняться в любое время в течение жизненного цикла приложения. В зависи
мости от целевою уровня доверия приложения этот шаг может быть однократным, периодическим или обуслав
ливаемым событиями.
Пример 1 — Организация может периодически выполнять этот шаг для мониторинга степени
обеспечения безопасности на этапе реализации приложения.
Пример 2 — Организация может выполнять этот шаг для демонстрации фактического уровня
доверия приложения, прежде чем будет утверждено его развертывание.
Пример 3 — Организация может выполнять этот шаг на этапе эксплуатации жизненного цикла
приложения как часть ежегодно проводимого организацией аудита безопасности.
В рамках этого шага внутренняя или внешняя группа, занимающаяся верификацией (в зависимости от по
литик организации, содержащихся в ONF). проверяет, чтобы все верификационные измерения, представленные
всеми ASC вANF для конкретного приложения, были выполнены и результаты верифицированы. Целью данного
шага является демонстрация в определенное время фактического уровня доверия приложения. Организация
может объявить приложение «безопасным», когда его фактический уровень доверия равен его целевому уров ню
доверия.
Процесс аудита безопасности приложений для измерения фактического уровня доверия включает ряд раз
личных действующих субъектов и процессов SDL:
- для отслеживания соответствия SDL используется специально разработанное бизнес-приложение — ор
ганизовано добавление журнала инструментальных средств, моделей угроз и централизованное хранение других
свидетельств, сформированных автоматически и вручную;
- руководители групп по вопросам безопасности и приватности отвечают за обеспечение уверенности в том,
что все необходимые для вынесения объективного суждения данные классифицированы и введены вотслеживаю
щее приложение;
- информация, введенная в отслеживающее приложение, затем используется кураторами по обеспече
нию безопасности и приватности для обеспечения структуры окончательной проверки безопасности (как описано
ниже);
- кураторы по обеспечению безопасности и приватности кроме того несут ответственность за проверку дан
ных. вводимых в отслеживающее приложение (включая результаты FSR и другие дополнительные задачи по обе
спечению безопасности, установленные куратором), и подтверждение того, что все требования выполнены и/или
вопросы всех несоответствий разрешены.
46