ISO IEC 27034-1-2011 PDF

Полное наименование и описание

ISO/IEC 27034-1:2011 — Information technology — Security techniques — Application security — Part 1: Overview and concepts. Стандарт даёт обзор понятий, определений и принципов, используемых при обеспечении безопасности приложений, и вводит базовую модель для интеграции мер защиты в жизненный цикл приложений.

Аннотация

Документ предоставляет руководство по интеграции безопасности в процессы разработки, приобретения и эксплуатации приложений. Описываются ключевые понятия Application Security, роли и обязанности, а также общие принципы формирования организационного фреймворка для обеспечения защищённости приложений. Стандарт применим к собственным, закупаемым и аутсорсинговым приложениям.

Общая информация

• Статус: Опубликован (международный стандарт), версия подтверждена при обзоре.
• Дата публикации: Ноябрь 2011 — утверждён 21 ноября 2011 года (издание 1).
• Организация-издатель: ISO/IEC (технический комитет ISO/IEC JTC 1/SC 27).
• ICS / категории: 35.030 (IT–безопасность).
• Редакция / версия: Издание 1 (2011).
• Количество страниц: 67 страниц (основной документ).

Область применения

Стандарт предназначен для организаций, стремящихся системно включить безопасность приложений в процессы управления жизненным циклом ПО. Рекомендуется к применению при разработке, выборе, интеграции и эксплуатации приложений, включая случаи закупки у третьих сторон и передачи функций на аутсорсинг. Документ не навязывает конкретную методологию SDLC; он совместим с разными моделями разработки и управления рисками.

Ключевые темы и требования

• Базовые понятия и терминология в области безопасности приложений (Application Security).
• Роли, обязанности и взаимодействие заинтересованных сторон при обеспечении безопасности приложений.
• Организационный фреймворк и интеграция безопасности в процессы управления приложениями (ASLCRM и сопутствующие модели в серии стандартов).
• Определение и управление Application Security Controls (ASC), включая структуру данных и протоколы обмена для повторного использования и обмена компонентами безопасности.

Применение и пользователи

Основные пользователи стандарта: руководители по информационной безопасности, архитекторы безопасности, менеджеры проектов, разработчики ПО, специалисты по контролю качества и аудиторы. Стандарт полезен также для отделов закупок и поставщиков решений, поскольку помогает формализовать требования к безопасности приложений и критерии их оценки.

Связанные стандарты

ISO/IEC 27034 — серийный набор стандартов по безопасности приложений; среди релевантных частей — ISO/IEC 27034-2 (Organization normative framework, 2015), ISO/IEC 27034-3 (Application security management process, 2018) и ISO/IEC 27034-5 (Protocols and application security controls data structure, 2017). Некоторые части (проекты и корректировки) могли изменять статус в каталоге; рекомендуется сверять актуальность частей перед применением.

Ключевые слова

безопасность приложений, Application Security, ASLCRM, Application Security Controls, ASC, организация информационной безопасности, интеграция безопасности в SDLC, ISO/IEC 27034.

FAQ

В: Что это за стандарт?

О: ISO/IEC 27034-1:2011 — первая часть серии стандартов по безопасности приложений, дающая обзор концепций, определений и принципов интеграции безопасности в жизненный цикл приложений.

В: Что он регулирует?

О: Не «регулирует» в юридическом смысле, а даёт руководство: как формировать организационный фреймворк безопасности приложений, назначать роли, определять требования и управлять контролями безопасности на уровне приложений.

В: Кто обычно использует?

О: Руководители информационной безопасности, архитекторы и инженеры по безопасности приложений, менеджеры разработки, отделы закупок и аудиторы; также поставщики решений по безопасности приложений.

В: Он актуален или заменён?

О: ISO/IEC 27034-1:2011 остаётся действующей базовой частью серии; документ проходил обзоры и в каталоге отмечены подтверждения/корректировки (включая техническую корректировку в 2014 году). При этом серия дополнялась новыми частями (например, 27034-3, 27034-5), поэтому для практического применения рекомендуется учитывать и более поздние части серии.

В: Это часть серии?

О: Да — ISO/IEC 27034 — серия стандартов по безопасности приложений, состоящая из нескольких частей (1, 2, 3, 5 и др.), каждая из которых раскрывает разные аспекты фреймворка и процессов обеспечения безопасности приложений.

В: Какие ключевые слова?

О: безопасность приложений, AS, ASC, ASLCRM, управление безопасностью приложений, интеграция безопасности, SDLC, ISO/IEC 27034.