ГОСТ Р ИСО/МЭК 19770-2-2014
b
) валидация нового программного и аппаратного обеспечения - этот процесс требует определения и под
держания в текущем состоянии общего операционного окружения (см. выше). По мере поступления в организацию
нового программного и аппаратного обеспечения специалисты по контролю качества должны убеждаться в том, что
новые элементы не вступают в конфликт ни с какими другими элементами в определенном общем операцион ном
окружении:
c) обработка обновлений - время от времени на программное обеспечение могут устанавливаться обнов
ления. В этих случаях должна осуществляться проверка того, что более новая версия программного обеспечения
корректно работает с существующими названиями программного обеспечения и. если необходимо, проверка того, что
файлы данных, созданные кем-либо с помощью нового программного обеспечения, могут использоваться бо лее
старыми версиями программного обеспечения. На основании информации, обнаруженной при тестировании в
общем операционном окружении, составляются и выполняются планы обновлений, обеспечивающие минималь ные
неудобства для организации при необходимости обновлений программного обеспечения.
D.4 ГГ-бозопасность
Организации отвечают за множество аспектов IT-безопасности. Компании устанавливают на свои вычисли
тельные устройства межсетевые экраны, ограничивающие доступ в Интернет, антивирусные программы и скане ры
программ-шпионов. а некоторые из этих организаций отслеживают сетевую активность. Несанкционированное
программное обеспечение, устанавливаемое пользователями на свои компьютеры, сопряжено с высоким (часто
недооцениваемым) риском безопасности.
К основным сценариям использования данного процесса относятся следующие:
a) идентификация несанкционированного программного обеспечения - этот процесс позволяет специалисту-
практику по использованию процессов SAM использовать данные инвентаризации программного обеспечения и
идентифицировать любые установленные программные пакеты, не входящие в список программного обеспечения,
утвержденный организацией. При выполнении этого процесса могут использоваться данные тега идентификации
программного обеспечения, выдающие «отпечаток», идентифицирующий файлы, относящиеся к конкретному про
граммному пакету. Служба IT-безопасности сможет быстро отфильтровать все известные и утвержденные файлы и
оперативно проверить все другие обнаруженные исполняемые файлы. Служба IT-безопасности может создать
собственный тег идентификации программного обеспечения, включающий данные об известных и разрешенных
организацией к использованию файлах, и использовать этот тег для последующей фильтрации списка. Таким об
разом. процесс фильтрации может идентифицировать неизвестные исполняемые файлы, проверять, разрешены ли
они к использованию в пределах организации и либо принять, либо отклонить программное обеспечение в со
ответствии с организационной политикой;
b
) проверка соответствующих версий и файловданных установленных приложений безопасности, например,
сканеров программ-шпионов и антивирусного программного обеспечения. Использование актуальных и точных
данных инвентаризации, аналогичных тем. которые используются в других группах организации, позволит запу
скать этот процесс в автоматизированном режиме.
76