ГОСТ Р ИСО/МЭК 27034-5-2020. Национальный стандарт Российской Федерации. Информационные технологии. Методы и средства обеспечения безопасности. Безопасность приложений. Часть 5. Структуры данных протоколов и мер обеспечения безопасности приложений

6 Эталонная модель жизненного цикла безопасности приложения

 

6.1 Общая информация

В разделе 6 приведена дополнительная информация и перечислены обозначения мероприятий, предложенные в ЭМЖЦБП, определенной в ИСО/МЭК 27034-1. Согласно рисунку 9, жизненный цикл приложения в основном состоит из двух стадий: создание и эксплуатация. Первая стадия подразделяется на фазы подготовки, реализации и ввода в действие. Вторая стадия делится на фазы использования и поддержки, архивирования и уничтожения. В каждой фазе выполняются мероприятия, связанные с подготовкой к работе, эксплуатацией и аудитом приложений, а также менеджментом инфраструктурой и менеджментом приложений. Для этого задействованы несколько субъектов. Дополнительная информация об обозначениях мероприятий и общие определения вовлеченных субъектов даны в подразделах 6.2 - 6.6.

 

 

Рисунок 9 - Высокоуровневое представление эталонной модели

жизненного цикла безопасности приложений

 

Различные стадии, фазы и мероприятия, определенные в ЭМЖЦБП, должны использоваться в качестве эталона при описании МОБП с целью указать, когда мероприятие, связанное с МОБП, должно быть выполнено. Также действующие субъекты и роли, определенные в ЭМЖЦБП, должны использоваться в качестве ориентира при описании МОБП с целью указать, какие ресурсы должны быть выделены для выполнения мероприятий или задач, связанных с МОБП.

На рисунке 10 элементы ЭМЖЦБП представлены в виде дерева, где элемент "Эталон жизненного цикла" является корневым, первый уровень представлен элементом "уровень", второй уровень - элементом "стадия", третий уровень - элементом "сфера мероприятий", четвертый уровень - элементом "часть сферы мероприятий", пятый уровень - элементом "обозначение мероприятия". Чтобы указать одно определенное обозначение мероприятия, в качестве момента исполнения можно выбрать путь, представленный в виде последовательности элементов (см. 5.2.4.3, d) 5) моменты выполнения).

 

 

Рисунок 10 - Обозначение мероприятия, выбранное из эталонной

модели жизненного цикла безопасности приложений

 

В данном примере полная последовательность для определения обозначения мероприятия выглядит следующим образом: "Эталон жизненного цикла/Уровень инфраструктуры приложений/Стадия эксплуатации/Менеджмент инфраструктуры эксплуатации/.../Обозначение мероприятия".