ГОСТ Р ИСО/МЭК 27034-1—2014
в) санкционировать целевой уровень доверия в соответствии со специфическим контекстом ор
ганизации;
0 определять, какие меры и средства контроля и управления безопасностью приложений, а также
соответствующие верификационные измерения должны реализовываться и тестироваться;
д) сводить к минимуму расходы на верификацию безопасности приложений;
h) документально оформлять процедуры и политики безопасности для приложений;
i) обеспечивать информирование, обучение и надзор за обеспечением безопасности в отноше
нии всех действующих субъектов;
j) вводить надлежащие формы допуска по информационной безопасности, которые требуют при
меняемые процедуры и политики информационной безопасности;
k) курировать все планы, связанные с системами безопасности во всей структуре организации.
0.3.3 Члены групп подготовки к работе и эксплуатации
Члены групп подготовки к работе и эксплуатации (общеизвестные как группы проекта) — это лица,
вовлеченные в проектирование, разработку и поддержку приложений на протяжении всего их жизнен
ного цикла.К ним относятся.
a) разработчики архитектуры.
b
) аналитики;
c) программисты;
d) специалисты по тестированию;
е) системные администраторы;
f) администраторы баз данных;
д) сетевые администраторы:
h) технический персонал.
Члены групп подготовки к работе и эксплуатации должны;
a) знать, какие меры и средства контроля и управления должны применяться на каждом этапе
жизненного цикла приложений и по какой причине;
b
) знать, какие меры и средства контроля и управления должны быть реализованы в самом при
ложении;
c) сводить к минимуму влияние вводимых мер и средств контроля и управления безопасностью
на мероприятия по разработке, тестированию и документальному оформлению в течение жизненного
цикла приложений:
d) проверять соответствие введенных мер и средств контроля и управления безопасностью при
ложений требованиям соответствующих измерений;
е) иметь доступ к инструментальным средствам илучшим практическим приемам для рациональ
ной разработки, тестирования идокументирования.
f) способствовать экспертной оценке:
д) принимать участив в планировании и разработке стратегии приобретения;
h) устанавливать деловые отношения для получения необходимых товаров и услуг (например, в
отношении тендера, оценки и заключения договоров);
i) организовывать удаление элементов, оставшихся после завершения работы (например, управ
ление имуществом / удаление).
0.3.4 Лица, отвечающие за приобретение
К лицам, отвечающим за приобретение, относятся все лица, вовлеченные в процесс приобрете
ния продуктов или услуг.
Лица, отвечающие за приобретение, должны:
a) подготавливать запрос предложений, включающий требования к мерам и средствам контроля
и управления безопасностью:
b
) выбирать поставщиков, соответствующих заданным требованиям:
c) проверять свидетельства применения мер и средств контроля и управления безопасностью
услуг на основе аутсорсинга;
d) оценивать продукты, проверяя свидетельства надлежащей реализации мор и средств контро
ля и управления безопасностью приложений.
0.3.5 Поставщики
К поставщикам относятся лица, вовлеченные в процесс поставки продуктов или услуг.
Поставщики должны:
а) выполнять требования безопасности приложений, представленные в запросах предложений;
VI