ISO IEC 27034-6-2016 PDF

Полное наименование и описание

Информационные технологии — Методы обеспечения безопасности — Безопасность приложений — Часть 6: Примеры (ISO/IEC 27034-6:2016). Стандарт содержит набор иллюстративных случаев (case studies) и примеров разработки и документирования мер обеспечения безопасности приложений (Application Security Controls, ASC).

Аннотация

ISO/IEC 27034-6:2016 предоставляет практические примеры использования ASC для конкретных приложений и демонстрирует, как можно документировать, применять и проверять меры безопасности приложений. Примеры предназначены для иллюстрации и не являются исчерпывающими; организациям рекомендуется разрабатывать собственные ASC применительно к их средам.

Общая информация

• Статус: Действующий / опубликован (первая редакция 2016, подтверждён без изменений в более поздний период).
• Дата публикации: 2016 (первая редакция; публикация указана 2016-10-05 в каталоге издателя ISO/IEC).
• Организация-издатель: ISO/IEC (комитет JTC 1 / SC 27 — Информационная безопасность, кибербезопасность и защита персональных данных).
• ICS / категории: 35.030 (IT Security).
• Редакция / версия: Издание 1.0 (первая редакция, 2016).
• Количество страниц: примерно 70 страниц (в публикациях разных национальных библиотек/продавцов указывается ~70—82 стр., официальное описание указывает 70 стр.).

Область применения

Часть 6 серии ISO/IEC 27034 предназначена для демонстрации применения концепций и методов обеспечения безопасности приложений на наборах конкретных примеров. Стандарт ориентирован на обработку вопросов безопасности в ходе разработки, внедрения и сопровождения приложений и служит иллюстративным руководством для создания и проверки ASC, но не заменяет методологии разработки ПО или детальные процессные стандарты.

Ключевые темы и требования

• Примеры разработки и документирования Application Security Controls (ASC) для конкретных типов приложений.
• Показательные «кейсы» применения ASC и демонстрация верификации соответствия приложений заданному уровню доверия.
• Рекомендации по описанию ASC, структуре представления и проверке результатов (включая примеры в виде XML в приложениях).
• Фокус на процессе управления безопасностью приложений: определение целей безопасности, целевого уровня доверия, проектирование контроля и верификация.
• Не является предписывающим стандартом разработки приложений — служит дополнением и практической иллюстрацией к более общим требованиям по информационной безопасности.

Применение и пользователи

Стандарт полезен специалистам по безопасности приложений, архитекторам безопасности, владельцам приложений, менеджерам разработки, аудиторам и консультантам по ИБ, которым требуются примеры оформления и документирования мер безопасности для конкретных приложений. Его используют для формирования шаблонов ASC, подготовки тестовых сценариев верификации и обучения команд.

Связанные стандарты

ISO/IEC 27034-6 — часть серии ISO/IEC 27034 (Application security), связан с другими частями серии, в частности ISO/IEC 27034-1 (обзор и концепции), ISO/IEC 27034-2 (организационная нормативная база) и ISO/IEC 27034-5 (протоколы и структура данных для ASC). Также имеет смысл рассматривать в связке с общими стандартами по информационной безопасности, такими как ISO/IEC 27001 и ISO/IEC 27002.

Ключевые слова

безопасность приложений; Application Security Controls (ASC); примеры/кейсы; целевой уровень доверия; верификация безопасности; ISO/IEC 27034; JTC 1/SC 27.

FAQ

В: Что это за стандарт?

О: ISO/IEC 27034-6:2016 — часть международной серии по безопасности приложений, содержащая практические примеры (case studies) разработки, документирования и верификации мер безопасности приложений.

В: Что он регулирует?

О: Он не «регулирует» в юридическом смысле, а предлагает примеры и методические подходы по описанию и применению Application Security Controls (ASC) для конкретных приложений, демонстрируя, как можно достигать и проверять требуемого уровня доверия приложения.

В: Кто обычно использует?

О: Специалисты по безопасности приложений, архитекторы, разработчики, владельцы приложений, аудиторские команды и консультанты по ИБ, а также организации, желающие формализовать и документировать меры защиты приложений.

В: Он актуален или заменён?

О: Первая редакция опубликована в 2016 году; по доступным записям часть 6 остаётся действующей и была подтверждена (неизменённой) в последующий период. Для точной проверки актуального статуса рекомендуется свериться с официальным курсом публикаций издателя.

В: Это часть серии?

О: Да — ISO/IEC 27034 состоит из нескольких частей (включая части 1, 2, 5 и 6 и др.), где каждая часть охватывает определённый аспект обеспечения безопасности приложений (концепции, организационные рамки, протоколы/структуры данных, примеры и т.п.).

В: Какие ключевые слова?

О: безопасность приложений, ASC, case studies, целевой уровень доверия, верификация, ISO/IEC 27034, JTC 1/SC 27.