Управление информационной безопасностью. Стандарты СУИБ
Шрифт:
– соответствующие внешние и внутренние|внутриконтурные| требования, например, правила или политики|полиса|;
– меры безопасности уже предприняты организацией,|структурой| осуществляющей разработку системы |разработку|;
– надежность персонала, работающего в среде разработки;
– степень|степень| аутсорсинга в разработке системы |разработкой|;
– необходимость разделения сред разных|другого| разработок |разработки|;
– контроль доступа к среде разработки |разработки|;
– мониторинг изменения|замены|
– хранение резервных копий|запоминают, аккумулируют| в|у| удаленном безопасном месте|местоположения, месторасположения||узла, участка|;
– контроль |контролируйте| движения данных из среды и в среду разработки.
Как только уровень безопасности специальной среды разработки установлен|решает||разработки|, организации|структура| должны задокументировать|задокументировать| соответствующие|соответствующие| процедуры безопасных процессов разработки |разработки| и довести до всех заинтересованных лиц.
Аутсорсинг разработки
Меры и средства
Организация должна руководить аутсорсингом разработки системы и мониторить его.
Рекомендации по реализации
Если осуществляется аутсорсинг разработки (привлечение для разработки сторонней организации), то по всей организационной внешней цепочке поставок необходимо учитывать следующее:
– лицензионные соглашения, собственность кода и права интеллектуальной собственности, связанные с аутсорсингом;
– договорные требования к безопасным методикам по созданию, кодированию и тестированию;
– предоставление внешнему разработчику применимой модели угроз;
– приемные испытания качества и точности результатов;
– предоставление доказательства применения порогов безопасности для минимизации применяемых уровней качества безопасности и приватности;
– предоставление доказательства достаточного тестирования на предмет отсутствия вредоносного ПО;
– предоставление доказательства достаточного тестирования на предмет наличия известных уязвимостей;
– эскроу соглашения (на случай отказа сторонней организации выполнять свои обязательства), например, если исходный код не длиннее имеющегося;
– договорное право на аудит мер защиты и процессов разработки;
– эффективная документация построенной среды, способствующая достижению результатов;
– ответственность организации за соблюдение действующих законов и проверку эффективности контроля.
Тестирование безопасности
Меры и средства
Тестирование функциональности безопасности должно осуществляться в течение ее разработки.
Рекомендации по реализации
Новые
Независимое тестирование должно (и для внутренней|собственный|, и для аутсорсинговой разработки|разработки|) гарантировать, что|который| системные работы проведены именно так, как ожидалось. Степень тестирования должна соответствовать важности и типу|натуре, характеру| системы.
Приёмное тестирование
Меры и средства
Программы приёмного тестирования и связанный с ним критерий должны быть установлены для новых ИС, их обновлений и новых версий.
Рекомендации по реализации
Приёмное тестирование системы должно включать|включить| проверку выполнения требований ИБ и соблюдения правил|метод| разработки безопасных систем |разработки|. Тестирование должно также проводиться|вести| на полученных компонентах|элементе| и встроенных|интегрированных, комплексных| системах.
Организации|структура| могут усилить автоматизированные инструменты, например, применить анализаторы кодов или сканеры уязвимости, и должна проверить|верифицировать| исправление дефектов, связанных с безопасностью.
Тестирование системы нужно выполнять|исполнить| в реалистичной|реалистичной| испытательной среде, чтобы гарантировать, что|который| система не создаст уязвимостей для среды организации,|структуры| и что испытания были надежными.
10.3. Тестовые данные
Цель: Обеспечить защиту данных, используемых при тестировании.
Защита тестовых данных
Меры и средства
Тестовые данные должны тщательно подбираться, защищаться и контролироваться.
Рекомендации по реализации
Тестовые данные не должны содержать персональных данных и конфиденциальной информации. Если персональные данные или любая конфиденциальная информация необходима для тестирования, все чувствительные детали и содержание должны быть защищены удалением или модификацией.
Необходимо применять следующие принципы для защиты тестовых данных:
– процедуры разграничения доступа, применяемые в эксплуатируемых системах, должны применяться и в системах тестирования;