ГОСТ Р ИСО/МЭК 27034-1—2014
Организация может утверждать, что приложение безопасно, но это утверждение действительно
только для данной конкретной организации в ее особом бизнес-контексте, регулятивном и технологи
ческом контекстах. Если, например, меняется технологическая инфраструктура приложения или при
ложение используется для таких же целей в другой стране, то этот новый контекст может влиять на
требования безопасности и целевой уровень доверия. Текущие меры и средства контроля и управле ния
безопасностью приложений могут уже неадекватно учитывать новые требования безопасности, и
приложение может больше не быть безопасным.
0.4.3 Соответствующие инвестиции в обеспечение безопасности приложений
Затраты на применение мер и средств контроля и управления безопасностью приложений и про
ведение аудиторских измерений должны быть соразмерны целевому уровню доверия (см. 8.1.2.6.4).
требуемого владельцем приложения или руководством.
Эти затраты могут считаться инвестицией, поскольку они уменьшают расходы, обязанности вла
дельца приложений и правовые последствия за нарушение безопасности.
0.4.4 Безопасность приложений должна демонстрироваться
Процесс аудита приложений в ИСО/МЭК 27034-1 (см. 8.5) использует поддающиеся проверке сви
детельства. обеспечиваемые мерами и средствами контроля и управления безопасностью приложений
(см. 8.1.2.6.5).
Приложение не может быть объявлено безопасным, если аудитор не согласен с тем. что подтверж
дающие свидетельства, генерируемые верификационными измерениями применяемых мер и средств
контроля и управления безопасностью приложений, демонстрируют достижение целевого уровня до
верия. требуемого руководством.
0.5 Связь с другими международными стандартами
0.5.1 Общие сведения
На рисунке 1 показана взаимосвязь ИСО/МЭК 27034 с другими международными стандартами.
Рисунок 1 — Взаимосвязь ИСО/МЭК 27034 с другими международными стандартами
0.5.2 ИСО/МЭК 27001, Системы менеджмента информационной безопасности. Требования
ИСО/МЭК 27034 способствует реализации рекомендаций ИСО/МЭК 27001 в сфере, ограниченной
безопасностью приложений. В частности, используются следующие подходы:
a) систематический подход к менеджменту безопасности;
b
) подход процесса «Планирование—Осуществление—Проверка—Действие»;
c) реализация информационной безопасности на основе менеджмента риска.
VIII