ГОСТ Р ИСО/МЭК 27034-1—2014
Выполняются следующие элементы процесса. Сначала устанавливается контекст приложения. Затем про
водится оценка риска на уровне приложений. Если это предоставляет достаточно информации для эффективного
определения мер и средств контроля и управления, которые необходимы для уменьшения рисков из-за использо
вания организацией данного приложения до степени, допустимой (или приемлемой) для владельца приложения, то
задача завершена, и следует обработка риска. Если информации недостаточно, будет проводиться другая ите
рация оценки риска с пересмотренными критериями риска и средой приложения (например, бизнес-контекст, ре
гулятивный и технологический контексты, спецификации приложения, критерии оценивания риска, критерии при
нятия риска, критерии воздействия и т. д.). возможно, для ограниченных частей в пределах приложения.
Эффективность обработки риска зависит от результатов оценки риска. Если риск и выведенные требования
безопасности для приложения плохо идентифицированы, то адекватная защита приложения не будет обеспечи
ваться. поскольку требования безопасности необходимы для идентификации целевого уровня доверия приложе
ния (см. 8.2.3). Возможно, что обработка риска не будет сразу же приводить к допустимому (или приемлемому)
остаточному риску. В этом случае проводится другая итерация оценки риска с более точными параметрами кон
текста (например, спецификации приложения, требования безопасности, уровень доверия, необходимые меры и
средства контроля и управления безопасностью приложений и т. д.). При необходимости может потребоваться
проведение формальной внутренней или внешней валидации.
Согласно ИСО/МЭК 27005, принятие риска происходит в конце процесса менеджмента риска. Поскольку
безопасность приложения не может быть осуществлена в конце этапа реализации приложения, то принятие риска
приложения должно осуществляться владельцем приложения в более ранний момент ASMP. Это должно проис
ходить в конце процесса оценки риска, когда владелец приложения идентифицирует целевой уровень доверия для
конкретного приложения.
В течение всего процесса менеджмента риска безопасности приложений важно, что риски и информация об
уровне доверия и взаимосвязанных ASC доводятся до сведения соответствующих групп. Владелец приложения
должен также обеспечивать уверенность в проведении мониторинга и рассмотрение риска в течение всего жизнен
ного цикла приложения.
Осведомленность руководства и персонала о рисках, характере имеющихся мер и средств контроля и управ
ления для уменьшения рисков и проблемных областей организации позволяет наиболее эффективным способом
бороться с инцидентами и неожиданными событиями. Как определено в ИСО/МЭК 27005, следует документально
оформлять подробные результаты каждой деятельности процесса менеджмента риска и результаты принятия ре
шения относительно риска по двум точкам.
62