ČSN ISO/IEC 27034-1 (369703)

ČESKÁ TECHNICKÁ NORMA

ICS 35.040 Říjen 2014

Informační technologie – Bezpečnostní techniky –
Bezpečnost aplikací –
Část 1: Přehled a pojmy

ČSN
ISO/IEC 27034-1

36 9703

Information Technology – Security techniques – Application security –
Part 1: Overview and concepts

Technologies de l’information – Techniques de sécurité – Sécurité des applications –
Partie 1: Aperçu général et concepts

Tato norma je českou verzí mezinárodní normy ISO/IEC 27034-1:2011. Překlad byl zajištěn Úřadem
pro technickou normalizaci, metrologii a státní zkušebnictví. Má stejný status jako oficiální verze.

This standard is the Czech version of the International Standard ISO/IEC 27034-1:2011. It was translated
by the Czech Office for Standards, Metrology and Testing. It has the same status as the official version.

Národní předmluva

Informace o citovaných dokumentech

ISO/IEC 27000:2009 nezavedena

ISO/IEC 27001:2005 nezavedena

ISO/IEC 27002:2005 nezavedena

ISO/IEC 27005:2011 zavedena v ČSN ISO/IEC 27005:2013 (36 9790) Informační technologie – Bezpečnostní techniky – Řízení rizik bezpečnosti informací

Souvisící ČSN

ČSN ISO/IEC 2382-7:2002 (36 9001) Informační technologie – Slovník – Část 7: Programování počítačů

ČSN EN ISO 9000:2006 (01 0300) Systémy managementu kvality – Základní principy a slovník

ČSN ISO/IEC 9126-1 (36 9020) Softwarové inženýrství – Jakost produktu – Část 1: Model jakosti

ČSN P ISO/IEC 15000-1 (97 9739) Rozšiřitelný vyznačovací jazyk pro elektronický byznys (ebXML) – Část 1: Profil protokolu o spolupráci a specifikace dohody (ebCPP)

ČSN ISO/IEC 15408-3 (36 9789) Informační technologie – Bezpečnostní techniky – Kritéria pro hodnocení bezpečnosti IT – Část 3: Komponenty bezpečnostních záruk

Vysvětlivky k textu převzaté normy

Pro účely této normy byl použit:

překlad anglického termínu „control“ preferovaně jako „opatření“ z důvodu návaznosti na vydané normy
řady 27000;
anglické termíny „bug bars“ (A.9.6), „high water mark“ (B.1.8) v původním tvaru vzhledem k neexistenci
českého ekvivalentu;
anglický termín „outsourcing“ a od něho odvozené termíny v původním tvaru vzhledem k rozšíření tohoto termínu v odborné komunitě.

Vypracování normy

Zpracovatel: Ing. Vladimír Pračke, IČ 40654419

Technická normalizační komise: TNK 20 Informační technologie

Pracovník Úřadu pro technickou normalizaci, metrologii a státní zkušebnictví: Ing. Miroslav Škop

MEZINÁRODNÍ NORMA

Informační technologie – Bezpečnostní techniky – ISO/IEC 27034-1
Bezpečnost aplikací – Část 1: Přehled a pojmy První vydání
2011-11-15

ICS 35.040

Obsah

Strana

Předmluva 8

Úvod 9

0.1 Obecně 9

0.2 Účel 9

0.3 Cílové skupiny 10

0.3.1 Obecně 10

0.3.2 Manažeři 10

0.3.3 Zajišťovací a provozní týmy 11

0.3.4 Nabyvatelé 11

0.3.5 Dodavatelé 12

0.3.6 Auditoři 12

0.3.7 Uživatelé 12

0.4 Principy 12

0.4.1 Bezpečnost jako požadavek 12

0.4.2 Bezpečnost aplikace je kontextově závislá 12

0.4.3 Přiměřené investice pro bezpečnost aplikace 13

0.4.4 Bezpečnost aplikace by měla být prokázána 13

0.5 Vztah k jiným mezinárodním normám 13

0.5.1 Obecně 13

0.5.2 ISO/IEC 27001, Systémy řízení bezpečnosti informací – Požadavky 13

0.5.3 ISO/IEC 27002, Soubor postupů pro opatření bezpečnosti informací 14

0.5.4 ISO/IEC 27005, Řízení rizik bezpečnosti informací 14

0.5.5 ISO/IEC 21827, Inženýrství zabezpečení systémů – Model vyzrálosti způsobilosti (SSE-CMMR) 14

0.5.6 ISO/IEC 15408-3, Kritéria pro hodnocení bezpečnosti IT – Část 3: Komponenty bezpečnostních záruk 14

0.5.7 ISO/IEC TR 15443-1, Struktura záruky IT bezpečnosti – Část 1: Přehled a struktura, a ISO/IEC TR 15443-3, Struktura záruky IT bezpečnosti – Část 3: Analýza metod záruky 14

0.5.8 ISO/IEC 15026-2, Systémy a softwarové inženýrství – Systémy a záruky softwaru – Část 2: Případ záruky 14

0.5.9 ISO/IEC 15288, Systémy a softwarové inženýrství – Procesy v životním cyklu systému, a ISO/IEC 12207,
Informační technologie – Procesy v životním cyklu softwaru 14

0.5.10 ISO/IEC TR 29193 (připravuje se), Inženýrské principy a techniky bezpečného systému 14

1 Předmět normy 15

2 Citované dokumenty 15

3 Termíny a definice 15

4 Zkrácené termíny 18

5 Struktura ISO/IEC 27034 18

Strana

6 Úvod do bezpečnosti aplikace 19

6.1 Obecně 19

6.2 Bezpečnost aplikace vs. bezpečnost softwaru 19

6.3 Rozsah bezpečnosti aplikace 19

6.3.1 Obecně 19

6.3.2 Kontext činnosti organizace 20

6.3.3 Regulatorní kontext 20

6.3.4 Procesy životního cyklu aplikace 20

6.3.5 Procesy týkající se aplikace 20

6.3.6 Technologický kontext 20

6.3.7 Specifikace aplikace 21

6.3.8 Data aplikace 21

6.3.9 Data organizace a uživatele 21

6.3.10 Role a oprávnění 21

6.4 Požadavky bezpečnosti aplikace 21

6.4.1 Zdroje požadavků bezpečnosti aplikace 21

6.4.2 Inženýrství požadavků bezpečnosti aplikace 21

6.4.3 ISMS 22

6.5 Riziko 22

6.5.1 Riziko bezpečnosti aplikace 22

6.5.2 Zranitelnosti aplikace 22

6.5.3 Hrozby vůči aplikacím 22

6.5.4 Dopady na aplikace 23

6.5.5 Řízení rizik 23

6.6 Náklady na bezpečnost 23

6.7 Cílové prostředí 23

6.8 Opatření a jejich cíle 23

7 Celkové procesy ISO/IEC 27034 23

7.1 Komponenty, procesy a rámce 23

7.2 Proces řízení ONF 24

7.3 Proces řízení bezpečnosti aplikace 24

7.3.1 Obecně 24

7.3.2 Specifikace požadavků aplikace a prostředí 25

7.3.3 Posouzení bezpečnostních rizik aplikace 25

7.3.4 Vytvoření a udržování normativního rámce aplikace 25

7.3.5 Zajišťování a provozování aplikace 25

7.3.6 Audit bezpečnosti aplikace 26

8 Koncepty 26

8.1 Normativní rámec organizace 26

8.1.1 Obecně 26

8.1.2 Komponenty 27

8.1.3 Procesy vztahující se k normativnímu rámci organizace 38

8.2 Posouzení rizik bezpečnosti aplikace 41

8.2.1 Posouzení rizik vs. řízení rizik 41

8.2.2 Analýza rizik aplikace 41

8.2.3 Hodnocení rizika 41

Strana

8.2.4 Cílená úroveň důvěry aplikace 42

8.2.5 Akceptace vlastníkem aplikace 42

8.3 Normativní rámec aplikace 42

8.3.1 Obecně 42

8.3.2 Komponenty 43

8.3.3 Procesy týkající se bezpečnosti aplikace 44

8.3.4 Životní cyklus aplikace 44

8.3.5 Procesy 44

8.4 Zajišťování a provozování aplikace 44

8.4.1 Obecně 44

8.4.2 Dopad ISO/IEC 27034 na projekt aplikace 45

8.4.3 Komponenty 46

8.4.4 Procesy 46

8.5 Audit bezpečnosti aplikace 47

8.5.1 Obecně 47

8.5.2 Komponenty 48

Příloha A (informativní) Případová studie mapování stávajícího procesu vývoje na ISO/IEC 27034 49

A.1 Obecně 49

A.2 O životním cyklu vývoje v oblasti bezpečnosti 49

A.3 Mapování SDL na normativní rámec organizace 50

A.4 Kontext činnosti organizace 50

A.5 Regulatorní kontext 51

A.6 Repozitář specifikací aplikací 51

A.7 Technologický kontext 52

A.8 Role, odpovědnosti a kvalifikace 52

A.9 ASC knihovna organizace 53

A.9.1 Školení 54

A.9.2 Požadavky 54

A.9.3 Návrh 55

A.9.4 Implementace 56

A.9.5 Ověření 56

A.9.6 Vydání 57

A.10 Audit bezpečnosti aplikace 58

A.11 Model životního cyklu aplikace 60

A.12 SDL mapované na referenční model životního cyklu bezpečnosti aplikace 62

Příloha B (informativní) Mapování ASC na stávající normu 64

B.1 Kategorie ASC kandidátů 64

B.1.1 Obecné faktory vztahující se k bezpečnostním opatřením 64

B.1.2 Faktory vztahující se k provozování/prostředí 64

B.1.3 Faktory vztahující se k fyzické infrastruktuře 64

B.1.4 Faktory vztahující se k veřejnému přístupu 64

B.1.5 Faktory vztahující se k technologii 64

B.1.6 Faktory vztahující se k politikám/regulatorním otázkám 65

B.1.7 Faktory vztahující se ke škálovatelnosti 65

B.1.8 Faktory vztahující se k cílům bezpečnosti 65

B.2 Třídy bezpečnostních opatření 66

Strana

B.3 Podtřídy třídy Řízení přístupu (AC) 67

B.4 Podrobné třídy řízení přístupu 67

B.4.1 AC-1 Politika a postupy řízení přístupu 67

B.4.2 AC-2 Správa a řízení účtů 68

B.4.3 AC-17 Vzdálený přístup 68

B.5 Definice ASC vytvořeného ze vzorku SP 800-53 opatření 70

B.5.1 Opatření AU-14 dle popisu v SP 800-53 Rev. 3 70

B.5.2 Opatření AU-14 popsané dle ASC formátu ISO/IEC 27034 70

Příloha C (informativní) Mapování procesu řízení rizik dle ISO/IEC 27005 na ASMP 73

Bibliografie 75

Obrázky

Obrázek 1 – Vztah k jiným mezinárodním normám 13

Obrázek 2 – Rozsah bezpečnosti aplikace 19

Obrázek 3 – Procesy řízení organizace 24

Obrázek 4 – Normativní rámec organizace (zjednodušený) 26

Obrázek 5 – Grafické znázornění příkladu ASC knihovny organizace 29

Obrázek 6 – Komponenty ASC 31

Obrázek 7 – Graf ASC 32

Obrázek 8 – Pohled nejvyšší úrovně na referenční model životního cyklu bezpečnosti aplikace 35

Obrázek 9 – Proces řízení ONF 39

Obrázek 10 – Normativní rámec aplikace 43

Obrázek 11 – Dopad ISO/IEC 27034 na role a odpovědnosti v typickém projektu aplikace 45

Obrázek 12 – ASC použité jako bezpečnostní aktivita 46

Obrázek 13 – ASC použité pro měření 47

Obrázek 14 – Přehled procesu ověřování bezpečnosti aplikace 48

Obrázek A.1 – Životní cyklus vývoje v oblasti bezpečnosti 49

Obrázek A.2 – Mapování SDL na normativní rámec organizace 50

Obrázek A.3 – Příklad stromu ASC 54

Obrázek A.4 – Příklad aplikace týkající se předmětu podnikání pro audit bezpečnosti aplikace 59

Obrázek A.5 – Názorný příklad SDL procesu 61

Obrázek A.6 – SDL mapované na referenční model životního cyklu bezpečnosti aplikace 62

Obrázek A.7 – Podrobné mapování fází SDL na etapy referenčního modelu životního cyklu bezpečnosti aplikace 63

Obrázek C.1 – Proces řízení rizik dle ISO/IEC 27005 mapovaný na ASMP 73

Tabulky

Tabulka 1 – Rozsah aplikace vs. rozsah bezpečnosti aplikace 20

Tabulka 2 – Mapování ISMS dílčích procesů řízení ONF 40

Tabulka B.1 – Třídy, skupina a identifikátory bezpečnostních opatření 66

Tabulka B.2 – Třídy bezpečnostních opatření a výchozí bezpečnostní opatření pro málo odolné, středně odolné
a vysoce odolné informační systémy 67

Tabulka B.3 – SP800-53 opatření AU-14 popsané dle ASC formátu ISO/IEC 27034 71

[image]

DOKUMENT CHRÁNĚNÝ COPYRIGHTEM

Veškerá práva vyhrazena. Pokud není specifikováno jinak, nesmí být žádná část této publikace reprodukována nebo používána v jakékoliv formě nebo jakýmkoliv způsobem, elektronickým nebo mechanickým, včetně fotokopií a mikrofilmů, bez písemného svolení buď od organizace ISO na níže uvedené adrese, nebo od členské organizace ISO v zemi žadatele.

ISO copyright office

Case postale 56 · CH-1211 Geneva 20

Tel. + 41 22 749 01 11

Fax + 41 22 749 09 47

E-mail copyright@iso.org

Web www.iso.org

Published in Switzerland

Předmluva

ISO (Mezinárodní organizace pro normalizaci) a IEC (Mezinárodní elektrotechnická komise) tvoří specializovaný systém světové normalizace. Národní orgány, které jsou členy ISO nebo IEC, se podílejí na vývoji mezinárodních norem prostřednictvím technických komisí, zřízených dotyčnou organizací a zabývajících se určitou oblastí technické činnosti. Technické komise ISO a IEC spolupracují v oblastech společných zájmů. Práce se zúčastňují i další mezinárodní organizace, vládní i nevládní, s nimiž ISO a IEC navázaly pracovní styk. ISO a IEC ustavily v oblasti informačních technologií společnou technickou komisi ISO/IEC JTC 1.

Návrhy mezinárodních norem jsou vypracovávány v souladu s pravidly danými směrnicemi ISO/IEC, část 2.

Hlavním úkolem společné technické komise je vypracování mezinárodních norem. Návrhy mezinárodních
norem přijaté společnou technickou komisí jsou rozesílány národním členům k hlasování. Vydání mezinárodní normy vyžaduje souhlas alespoň 75 % hlasujících národních orgánů.

Upozorňuje se na možnost, že některé prvky tohoto dokumentu mohou být předmětem patentových práv.
ISO a IEC nelze činit odpovědnými za identifikování jakéhokoliv nebo všech patentových práv.

ISO/IEC 27034-1 vypracovala společná technická komise ISO/IEC JTC 1 Informační technologie, subkomise SC 27 IT Bezpečnostní techniky.

ISO/IEC 27034 se skládá z následujících částí se společným názvem Informační technologie – Bezpečnostní techniky – Bezpečnost aplikací:

Část 1: Přehled a pojmy

Následující části se připravují:

Část 2: Normativní rámec organizace
Část 3: Proces řízení bezpečnosti aplikací
Část 4: Validace bezpečnosti aplikací
Část 5: Protokoly a struktura řídících dat bezpečnosti aplikací

Úvod

0.1 Obecně

Organizace by měly chránit své informační a technologické infrastruktury, aby se udržely v podnikání. Tradičně toto bylo řešeno na úrovni IT ochranou perimetru a takových komponent technologické infrastruktury jako jsou počítače a sítě, což je obecně nedostatečné.

Kromě toho se organizace stále více chrání samy na úrovni vlastního řízení provozováním formalizovaných, testovaných a ověřených systémů řízení bezpečnosti informací (ISMS). Systematický přístup přispívá k efektivnímu systému řízení bezpečnosti informací, jak je popsáno v ISO/IEC 27001.

Nicméně organizace čelí stále rostoucí potřebě chránit své informace na aplikační úrovni.

Aplikace by měly být chráněny před zranitelnostmi, které by mohly být inherentní vzhledem k samotné aplikaci (například vady softwaru), objeví se v průběhu životního cyklu aplikace (například prostřednictvím změn aplikace), nebo vznikají v důsledku použití aplikace v kontextu, pro který nebyla určena.

Systematický přístup ke zvýšení bezpečnosti aplikací poskytuje důkaz, že informace používaná nebo uchovávaná aplikacemi organizace je přiměřeně chráněna.

Aplikace mohou být získány prostřednictvím interního vývoje, outsourcingu nebo zakoupením komerčního
produktu. Aplikace mohou být rovněž získány prostřednictvím kombinace těchto přístupů, které by mohly zavést nové bezpečnostní dopady, jež by měly být vzaty v úvahu a měly by být řízeny.

Příklady aplikací jsou systémy lidských zdrojů, finanční systémy, systémy pro zpracování textu, systémy řízení vztahů se zákazníky, firewally, antivirové systémy a systémy detekce průniku.

Po celou dobu svého životního cyklu vykazuje bezpečná aplikace předpokládané charakteristiky kvality softwaru, jako je předvídatelné provedení a soulad, stejně jako splnění bezpečnostních požadavků z hlediska vývoje, řízení, technické infrastruktury a auditu. Procesy a postupy se zvýšenou bezpečností – a kvalifikovaní lidé pro jejich vykonávání – jsou nutné k vytvoření důvěryhodných aplikací, které nezvyšují vystavení riziku nad přijatelnou nebo přípustnou úroveň zbytkového rizika a podporují efektivní ISMS.

Bezpečná aplikace navíc bere v úvahu bezpečnostní požadavky, které vyplývají z typu dat, cílového prostředí (kontext činnosti organizace, regulatorní a technologické kontexty), aktivních účastníků a specifikací aplikace. Mělo by být možné získat důkaz prokazující dosažení přijatelné (nebo tolerovatelné) úrovně zbytkového rizika a udržování této úrovně.

0.2 Účel

Účelem ISO/IEC 27034 je pomoci organizacím v bezproblémové integraci bezpečnosti v průběhu celého životního cyklu jejich aplikací pomocí:

poskytování konceptů, zásad, rámců, komponent a procesů;
poskytování procesně orientovaných mechanismů pro ustanovení bezpečnostních požadavků, odhadnutí bezpečnostních rizik, přiřazení cílené úrovně důvěry a výběru odpovídajících bezpečnostních opatření a ověřovacích opatření;
poskytování směrnic pro stanovení akceptačních kritérií pro organizace, zajišťující vnějšími zdroji vývoj nebo provoz aplikací, a pro organizace nakupující aplikace od třetích stran;
poskytování procesně orientovaných mechanismů pro určování, vytváření a shromažďování důkazů
potřebných k prokázání, že jejich aplikace může být v definovaném prostředí bezpečně používána;
podpory obecných pojmů specifikovaných v ISO/IEC 27001 a asistence s vyhovující implementací
bezpečnosti informací založené na přístupu řízení rizik; a
poskytování rámce, který pomáhá k implementaci opatření bezpečnosti uvedených v ISO/IEC 27002 a dalších normách.

ISO/IEC 27034:

se vztahuje na základní software aplikace a na přispívající faktory, které ovlivňují její bezpečnost, jako jsou data, technologie, procesy životního cyklu vývoje aplikací, podpůrné procesy a aktivní účastníky; a
se vztahuje na organizace všech velikostí a typů (například komerční společnosti, vládní úřady, neziskové organizace), které jsou vystaveny rizikům souvisejícím s aplikacemi.

ISO/IEC 27034 neposkytuje:

směrnice pro fyzickou bezpečnost a bezpečnost sítí;
opatření nebo měření;
specifikace bezpečného programování pro žádný programovací jazyk.

ISO/IEC 27034 není:

normou pro vývoj softwarových aplikací;
normou pro řízení projektů aplikací;
normou pro životní cyklus vývoje softwaru.

Požadavky a postupy uvedené v ISO/IEC 27034 nejsou určeny pro izolovanou implementaci, ale spíše pro
integraci do stávajících procesů organizace. Za tímto účelem by organizace měly namapovat své stávající
procesy a rámce na procesy a rámce navrhované normou ISO/IEC 27034 a tím snížit dopad implementace ISO/IEC 27034.

Příloha A (informativní) uvádí příklad, ilustrující jak může být stávající proces vývoje softwaru namapován
do některé z komponent a procesů ISO/IEC 27034. Obecně řečeno, organizace používající libovolný vývojový
životní cyklus by měla provést namapování stejně, jako je popsáno v příloze A, a přidat jakékoliv chybějící
komponenty či procesy potřebné pro dosažení souladu s ISO/IEC 27034.

0.3 Cílové skupiny

0.3.1 Obecně

Následující cílové skupiny budou při vykonávání svých rolí stanovených v organizaci profitovat z ISO/IEC 27034:

manažeři;
zajišťovací a provozní týmy;
akviziční pracovníci;
dodavatelé; a
auditoři.

0.3.2 Manažeři

Manažeři jsou osoby účastnící se řízení a správy aplikace během jejího celého životního cyklu. Příslušné fáze životního cyklu aplikace zahrnují etapy pořizování a etapy výroby. Příklady manažerů jsou:

manažer bezpečnosti informací;
projektový manažer;
administrátor;
nabyvatelé softwaru;
manažer vývoje softwaru;
vlastníci aplikací;
linioví manažeři, kteří dohlížejí na zaměstnance.

Manažeři typicky potřebují:

zajistit rovnováhu mezi náklady na implementaci a udržování bezpečnosti aplikace a riziky a hodnotou, kterou představuje pro organizaci;
přezkoumat zprávy auditora doporučující přijetí nebo odmítnutí založené na tom, zda aplikace dosáhla a udržela cílenou úroveň důvěry;
zajistit shodu s normami, zákony a předpisy v souladu s regulatorním kontextem dané aplikace (viz 8.1.2.2);
dohlížet na implementaci bezpečné aplikace;
schválit cílenou úroveň důvěry podle specifického kontextu organizace;
určit, která bezpečnostní opatření a odpovídající ověřovací měření by měla být implementována
a testována;
minimalizovat náklady na ověření bezpečnosti aplikace;
dokumentovat bezpečnostní politiky a postupy pro aplikaci;
poskytovat povědomí o bezpečnosti, školení a dohled pro všechny aktivní účastníky;
zavést náležité prověrky v oblasti bezpečnosti informací požadované příslušnými politikami a postupy bezpečnosti informací; a
udržovat krok se všemi bezpečnostními plány týkajícími se systému v rámci sítě organizace.

0.3.3 Zajišťovací a provozní týmy

Členové zajišťovacích a provozních týmů (nazývané projektový tým) jsou osoby podílející se na návrhu, vývoji a údržbě aplikace v průběhu celého jejího životního cyklu. Mezi členy patří:

architekti,
analytici,
programátoři,
testeři,
systémoví administrátoři,
databázoví administrátoři,
síťoví administrátoři, a
technický personál.

Členové typicky potřebují:

pochopit, jaká opatření by měla být použita v každé fázi životního cyklu aplikace a proč;
pochopit, jaká opatření by měla být implementována v samotné aplikaci;
minimalizovat dopad zavedení opatření na vývojové, testovací a dokumentační činnosti v rámci životního cyklu aplikace;
získat ujištění, že zavedená opatření splňují požadavky souvisejících měření;
získat přístup k nástrojům a osvědčeným postupům s cílem zjednodušit vývoj, testování a dokumentaci;
usnadnit vzájemné přezkoumání;
podílet se na plánování a strategii akvizic;
navázat obchodní vztahy pro získání potřebného zboží a služeb (například pro akvizice, hodnocení a zadávání kontraktů); a
zajistit právo disponovat se zbytkovými položkami po dokončení práce (například správa/likvidace majetku).

0.3.4 Nabyvatelé

Zahrnuje všechny osoby zapojené do získávání produktu nebo služby.

Nabyvatelé typicky potřebují:

připravit žádosti o nabídky, které zahrnují požadavky na bezpečnostní opatření;
vybrat dodavatele, kteří splňují tyto požadavky;
ověřit důkazy o bezpečnostních opatřeních uplatňovaných u externě poskytovaných služeb, a
hodnotit produkty na základě ověření důkazů o správně implementovaných bezpečnostních opatření
aplikace.

0.3.5 Dodavatelé

Zahrnuje všechny osoby zapojené do dodávání produktu nebo služby.

Dodavatelé typicky potřebují:

splňovat bezpečnostní požadavky aplikace uvedené v žádosti o nabídku;
zvolit vhodná bezpečnostní opatření aplikace pro nabídku, s ohledem na jejich dopad na náklady; a
prokázat, že požadovaná opatření jsou u nabídnutých výrobků nebo služeb správně implementována.

0.3.6 Auditoři

Auditoři jsou osoby, které potřebují:

pochopit rozsah a postupy používané při ověřovacích měřeních odpovídajících opatření;
zajistit, aby výsledky auditu byly opakovatelné;
vytvořit seznam ověřovacích měření vytvářejících důkazy, že aplikace dosáhla cílené úrovně důvěry
vyžadované vedením; a
uplatňovat standardizované auditní procesy založené na použití ověřitelných důkazů.

0.3.7 Uživatelé

Uživatelé jsou osoby, které potřebují:

důvěru, že použití a nasazení aplikace je považováno za bezpečné;
důvěru, že aplikace vytváří spolehlivé výsledky konzistentně a včas; a
důvěru, že opatření a jejich odpovídající ověřovací měření jsou dle očekávání správně umístěny a správně fungují.

0.4 Principy

0.4.1 Bezpečnost jako požadavek

Bezpečnostní požadavky by měly být definovány a analyzovány pro každou fázi životního cyklu aplikace,
adekvátně řešeny a průběžně řízeny.

S bezpečnostními požadavky aplikace (viz 6.4) by mělo být zacházeno stejným způsobem jako s požadavky na funkčnost, kvalitu a použitelnost (viz ISO/IEC 9126 pro příklad modelu kvality). Kromě toho by měly být ustanoveny s bezpečností související požadavky na shodu se zavedenými omezeními zbytkového rizika.

Podle ISO/IEC/IEEE 29148 (připravováno) by požadavky měly být nezbytné, abstraktní, jednoznačné, konzistentní, úplné, stručné, proveditelné, sledovatelné a ověřitelné. Stejné vlastnosti platí pro bezpečnostní požadavky. Příliš často se v dokumentaci k projektům aplikací setkáváme s nejasnými bezpečnostními požadavky, jako například „Vývojový pracovník by měl odhalit všechna významná bezpečnostní rizika pro aplikaci“.

0.4.2 Bezpečnost aplikace je kontextově závislá

Bezpečnost aplikace je ovlivněna definovaným cílovým prostředím. Typ a rozsah bezpečnostních požadavků aplikace jsou určeny riziky, kterým je aplikace vystavena, což závisí na třech kontextech:

kontext činnosti organizace: specifická rizika vyplývající z oblasti činnosti organizace (telefonní společnost, dopravní společnost, vláda, apod.);
regulatorní kontext: specifická rizika vyplývající z geografické polohy místa podnikání organizace (práva duševního vlastnictví a licencování, omezení týkající se ochrany kryptografie, autorské právo, zákony a předpisy, zákony na ochranu soukromí, atd.);
technologický kontext: specifická rizika technologií používaných organizací během podnikání [reverzní
inženýrství, bezpečnost sestavovacích nástrojů, ochrana zdrojového kódu, použití předkompilovaného kódu třetí strany, testování bezpečnosti, penetrační testy, kontrola omezení, kontrola kódu, prostředí
informačních a komunikačních technologií (ICT), ve kterém běží aplikace, konfigurační soubory a nezkompilovaná data, privilegia operačního systému pro instalaci a/nebo provoz, údržbu, bezpečnou distribuci, atd.].

Technologický kontext zahrnuje technické specifikace aplikace (bezpečnostní funkce, bezpečné komponenty, on-line platby, bezpečný záznam formou logu, kryptografie, správa oprávnění, atd.).

Organizace může tvrdit, že aplikace je bezpečná, ale toto tvrzení je platné pouze pro tuto konkrétní organizaci v jejích specifických kontextech činnosti a regulatorních a technologických kontextech. Pokud se například změní technologická infrastruktura aplikace nebo je aplikace používána ke stejným účelům v jiné zemi, mohou mít tyto nové kontexty dopad na bezpečnostní požadavky a cílenou úroveň důvěry. Aktuální bezpečnostní opatření aplikace již nemusí adekvátně reagovat na nové bezpečnostní požadavky a aplikace by již nemusely být bezpečné.

0.4.3 Přiměřené investice pro bezpečnost aplikace

Náklady na použití bezpečnostních opatření a provádění auditních měření by měly být úměrné k cílené úrovni důvěry (viz 8.1.2.6.4) požadované vlastníkem aplikace nebo vedením.

Tyto náklady lze považovat za investici, protože snižují náklady, odpovědnosti vlastníka aplikace a právní
důsledky narušení bezpečnosti.

0.4.4 Bezpečnost aplikace by měla být prokázána

Proces auditu aplikace v ISO/IEC 27034 (viz 8.5) využívá ověřitelných důkazů poskytnutých bezpečnostními opatřeními aplikace (viz 8.1.2.6.5).

Aplikace nemůže být prohlášena za bezpečnou, pokud auditor nesouhlasí s tím, že podpůrné důkazy generované odpovídajícími ověřovacími měřeními příslušných bezpečnostních opatření aplikace prokazují dosažení cílené úrovně důvěry stanovené vedením.

0.5 Vztah k jiným mezinárodním normám

0.5.1 Obecně

Obrázek 1 ukazuje vztahy mezi ISO/IEC 27034 a dalšími mezinárodními normami.

[image]

Obrázek 1 – Vztah k jiným mezinárodním normám

0.5.2 ISO/IEC 27001, Systémy řízení bezpečnosti informací – Požadavky

ISO/IEC 27034 pomáhá realizovat, s rozsahem omezeným na bezpečnost aplikací, doporučení z normy ISO/IEC 27001. Používají se zejména následující postupy:

systematický přístup k řízení bezpečnosti;
procesní přístup „Plánovat, Dělat, Kontrolovat, Jednat“; a
implementace bezpečnosti informací založená na řízení rizik.

0.5.3 ISO/IEC 27002, Soubor postupů pro opatření bezpečnosti informací

ISO/IEC 27002 stanovuje postupy, které organizace mohou implementovat jako bezpečnostní opatření aplikace, jak je navrženo v ISO/IEC 27034. Nanejvýš zajímavá jsou opatření z následujících kapitol v ISO/IEC 27002:2005:

kapitola 10: Řízení komunikací a provozu;
kapitola 11: Řízení přístupu; a co je nejdůležitější
kapitola 12: Akvizice, vývoj a údržba informačních systémů.

0.5.4 ISO/IEC 27005, Řízení rizik bezpečnosti informací

ISO/IEC 27034 pomáhá realizovat, s rozsahem omezeným na bezpečnost aplikací, proces řízení rizik předložený v ISO/IEC 27005. Viz příloha C (informativní) pro podrobnější diskusi.

0.5.5 ISO/IEC 21827, Inženýrství zabezpečení systémů – Model vyzrálosti způsobilosti (SSE-CMMR)

ISO/IEC 21827 poskytuje základní postupy inženýrství zabezpečení, které mohou organizace implementovat jako bezpečnostní opatření aplikace, jak je navrženo v ISO/IEC 27034. Kromě toho procesy z ISO/IEC 27034 přispívají k dosažení několika způsobilostí, které definují úrovně způsobilostí v ISO/IEC 21827.

0.5.6 ISO/IEC 15408-3, Kritéria pro hodnocení bezpečnosti IT – Část 3: Komponenty bezpečnostních záruk

ISO/IEC 15408-3 uvádí požadavky a akční prvky, které mohou organizace implementovat jako bezpečnostní opatření aplikace, jak je navrženo v ISO/IEC 27034.

0.5.7 ISO/IEC TR 15443-1, Struktura záruky IT bezpečnosti – Část 1: Přehled a struktura,
a ISO/IEC TR 15443-3, Struktura záruky IT bezpečnosti – Část 3: Analýza metod záruky

ISO/IEC 27034 pomáhá prosazovat a reflektovat zásady záruky bezpečnosti z ISO/IEC TR 15443-1 a přispět k případům záruky v ISO/IEC TR 15443-3.

0.5.8 ISO/IEC 15026-2, Systémy a softwarové inženýrství – Systémy a záruky softwaru – Část 2: Případ záruky

Použití procesů a bezpečnostních opatření aplikace z ISO/IEC 27034 v projektech aplikací přímo poskytuje případy záruky bezpečnosti aplikace. Zejména,

tvrzení a jejich ospravedlnění jsou poskytovány procesem analýzy rizik bezpečnosti aplikace,
důkazy jsou poskytnuty vestavěnými ověřovacími měřeními bezpečnostních opatření aplikace, a
soulad s ISO/IEC 27034 může být použit jako argument v mnoha takových případech záruky.

Viz také 8.1.2.6.5.1.

0.5.9 ISO/IEC 15288, Systémy a softwarové inženýrství – Procesy v životním cyklu systému, a ISO/IEC 12207, Informační technologie – Procesy v životním cyklu softwaru

ISO/IEC 27034 poskytuje dodatečné postupy pro organizaci, stejně jako bezpečnostní opatření aplikace, které organizace může vložit jako dodatečné aktivity do svých stávajících systémů a procesů životního cyklu softwarového inženýrství, jak je uvedeno v ISO/IEC 15288 a ISO/IEC 12207.

0.5.10 ISO/IEC TR 29193 (připravuje se), Inženýrské principy a techniky bezpečného systému

ISO/IEC TR 29193 poskytuje návod pro inženýrství bezpečných systémů pro ICT systémy nebo produkty, které organizace mohou implementovat jako bezpečnostní opatření aplikace, jak je navrženo v ISO/IEC 27034.

1 Předmět normy

ISO/IEC 27034 poskytuje návod s cílem pomoci organizacím integrovat bezpečnost do procesů používaných pro správu a řízení jejich aplikací.

Tato část ISO/IEC 27034 podává přehled o bezpečnosti aplikací. Zavádí definice, pojmy, principy a procesy související s bezpečností aplikací.

ISO/IEC 27034 je použitelná pro aplikace vyvíjené v organizaci, aplikace získané od třetích stran, a pro aplikace, u kterých je vývoj nebo provoz aplikace zajištěn externě.

Konec náhledu - text dále pokračuje v placené verzi ČSN.

Zdroj: www.cni.cz