ISO IEC 27034-2-2015 PDF

Полное наименование и описание

Стандарт ISO/IEC 27034-2:2015 — Information technology — Security techniques — Application security — Part 2: Organization normative framework. Описывает структуру «Organization Normative Framework» (ONF) и даёт практическое руководство по его проектированию, внедрению, эксплуатации и аудиту в организациях для обеспечения безопасности приложений.

Аннотация

Часть 2 стандарта ISO/IEC 27034 подробно описывает состав, взаимосвязи и обязанности внутри Организационного нормативного фреймворка (ONF) — набора политик, процессов, ролей и инструментов, необходимых для интеграции безопасности в жизненный цикл приложений. Документ предназначен дать практические указания по созданию, управлению и проверке ONF в разных организационных условиях.

Общая информация

• Статус: Опубликован, подтверждён (confirmed).
• Дата публикации: июль–август 2015 (веб‑публикация 28 июля 2015; в каталоге ISO указан август 2015).
• Организация-издатель: ISO/IEC (Технический комитет ISO/IEC JTC 1/SC 27).
• ICS / категории: 35.030 (IT Security).
• Редакция / версия: Издание 1 (2015).
• Количество страниц: ~52 страницы (формат издания может незначительно отличаться у продавцов копий).

Область применения

Стандарт применяется для организаций, стремящихся формализовать управление безопасностью приложений — как при внутренней разработке, так и при приобретении или аутсорсинге. Часть 2 даёт руководство по проектированию ONF, его взаимодействию с процессами управления жизненным циклом приложений и по организации контроля и аудита этого фреймворка.

Ключевые темы и требования

• Описание и состав Organization Normative Framework (ONF): политики, роли, процессы и артефакты.
• Определение ролей и ответственности (комитеты по ONF, владельцы приложений, команды безопасности и т.д.).
• Взаимодействие ONF с процессами управления жизненным циклом приложений и стандартами инженерии (выравнивание с ASMP и смежными процессами).
• Руководство по внедрению, эксплуатации и аудиту ONF в организации.
• Приложения и примеры: выравнивание с другими стандартами и практические примеры реализации ONF.

Применение и пользователи

Практическая аудитория стандарта включает руководителей по информационной безопасности (CISO), менеджеров по безопасности приложений, архитекторов приложений, команды разработки и эксплуатации, внутренние и внешние аудиторы, а также организации, разрабатывающие или интегрирующие программное обеспечение и желающие формализовать управление рисками приложений. Стандарт особенно полезен для средних и крупных организаций с необходимостью формального подхода к управлению безопасностью приложений.

Связанные стандарты

ISO/IEC 27034-2 является частью серии ISO/IEC 27034 (Application security). Соответствующие части серии включают, в частности: ISO/IEC 27034-1 (Overview and concepts, 2011), ISO/IEC 27034-3 (Application security management process, 2018) и ISO/IEC 27034-6 (Case studies, 2016). Эти документы дополняют часть 2 и предлагают обзор, процессное руководство и примеры применения соответственно.

Ключевые слова

Application security, Organization Normative Framework (ONF), security governance, ASMP, управление безопасностью приложений, аудит безопасности приложений, ISO/IEC JTC 1/SC 27.

FAQ

В: Что это за стандарт?

О: Международный стандарт, часть серии ISO/IEC 27034, посвящённая организационному фреймворку для управления безопасностью приложений — ONF. Документ описывает структуру и практические шаги по внедрению такого фреймворка в организации.

В: Что он регулирует?

О: Не законодательный акт, а рекомендательный стандарт: он регламентирует лучшие практики и требования к политике, ролям, процессам и контролям, которые организация должна установить для системного управления безопасностью приложений и их проверкой.

В: Кто обычно использует?

О: Специалисты по информационной безопасности, архитекторы приложений, менеджеры разработки и эксплуатации, внутренние аудиторы и консультанты по внедрению управления безопасностью приложений, особенно в средних и крупных организациях.

В: Он актуален или заменён?

О: Первая редакция 2015 года остаётся действующей — документ был пересмотрен и подтверждён в ходе рецензий (подтверждён/confirmed в 2021), поэтому на момент последней проверки версия остаётся актуальной.

В: Это часть серии?

О: Да, ISO/IEC 27034 — серия стандартов по безопасности приложений; часть 2 дополняется частями 1, 3, 6 и другими вспомогательными документами в серии.

В: Какие ключевые слова?

О: Application security, ONF, governance, security processes, ASMP, аудит, управление рисками приложений.