ГОСТ Р ИСО/МЭК 15026-4—2016
7.7 Процесс менеджмента конфигурации
Процесс менеджмента конфигурации (см. пункт 6.3.5 ИСОУМЭК 15288 и пункт 6.3.5 ИСО/МЭК
12207) устанавливает и поддерживает целостность всех идентифицированных артефактов проекта
или процесса и обеспечивает их доступность для заинтересованных сторон. Для гарантии существу ют
две взаимосвязи: 1) эффективный менеджмент конфигурации элементов системы является свиде
тельством информационной демонстрации достижения гарантийных требований; 2) информационная
демонстрация достижения гарантийных требований является объектом менеджмента конфигурации.
7.7.1 Соответствующие действия и задачи
Действия по стандарту 15288
Действия по стандарту12207
6.3.5.3 а) Спланируйте менеджмент конфигурации.
1) Определите стратегию менеджмента конфигура
ции.
Ь) Выполните менеджмент конфигурации.
1) Обеспечьте предоставление информации о кон
фигурациях с надлежащим уровнем целостности и
защищенности
6.3.5.3.1 Планирование менеджмента конфигурации.
6.3.5.3.1.1 В проекте должна быть определена стратегия
менеджмента конфигурации.
6.3.5.3.20существление менеджмента конфигурации.
6.3.6.3.2.1 Проект должен поддерживать информацию о
конфигурации на приемлемом уровне целостности и за
щищенности
7.7.2 Указания и рекомендации по гарантии
Разработанная стратегия менеджмента конфигурации должна определять, каким образом реле
вантная информация передается из процесса менеджмента конфигурации в информационные гаран
тийные требования, в том числе и во время сопровождения, и как обеспечить защиту данных и мета
данных элемента конфигурации и в хранилищах данных, и при модификации.
Проект должен идентифицировать связанную с запланированным гарантийным требованием ин
формацию. которая периодически объединяется в виде идентифицированной конфигурации для того,
чтобы сформировать организованную версию информационных гарантийных требований. Для того,
чтобы предотвратить случайные или несанкционированные изменения управляемых продуктов и ре
комендовать корректирующие действия и превентивные меры, касающиеся гарантийных требований,
необходимо производить анализ и аудит процедур и действий менеджмента конфигурации.
Проект должен гарантировать непротиворечивость целостности и защищенности структуры и ин
формации. содержащейся в информационных гарантийных требованиях с подходом к демонстрации
достижения требований. Информация о требуемой гарантии должна быть идентифицирована и перио
дически объединяться в виде идентифицированной конфигурации для того, чтобы сформировать органи
зованную версию информационных гарантийных требований. Управление доступом и распределением,
хранение и защита должны поддерживаться на протяжении всего жизненного цикла продукта или услуги.
Для упрощения достижения и гарантирования требований проект должен адаптировать менед
жмент конфигурации. Минимальными являются требования:
a) Использование строгих защитных мер должно быть соразмерно критичности системы, данным,
назначению и гарантированию требований и достаточно гибко, чтобы обеспечить разрешение широкого
спектра угроз.
b
) Настройка детализации процесса менеджмента конфигурации должна обеспечивать подход к
демонстрации достижения требований.
Проект должен установить и поддерживать необходимые уровни конфиденциальности, целостно
сти. готовности, аутентификацию, отслеживаемость (включая неподдельность) и возможность провер
ки информационных гарантийных требований, включая инкорпорацию следующих стратегий и методов
для процессов менеджмента конфигурации и вспомогательных инструментов:
a) строгую аутентификацию пользователя. Если для аутентификации используются пароли, то
они для передачи по сети должны всегда шифроваться и никогда и нигде не должны храниться в виде
простого текста;
b
) хранилища данных должны быть защищены от атак. Например, на платформе, поддерживаю
щей централизованное хранилище данных, необходимо для снижения рисков ограничить число других
сервисов, которые могут быть подвергнуты угрозам нападения. Доступ к сети для системы
менеджмен та конфигурации должен быть ограничен и контролироваться;
c) для предотвращения поставки недопустимых элементов или документов необходимы критерии
качества приемки:
11