Как читать авторский курс и нормативные материалы
Это учебные материалы, а не заключение о соответствии конкретного продукта. Организационные модели курса отделяйте от терминов стандарта: ППК в опубликованном проекте — машиночитаемый перечень, а живой реестр его версий является практикой сопровождения. Термин OSA в разных материалах имеет разный охват. Статус и обязательность нормативного документа проверяются отдельно; проект КАПО опубликован как проект первой редакции.
ISO IEC 27034
О документе
Что это ISO/IEC 27034 (Application security) — многочастный международный стандарт о встраивании безопасности в жизненный цикл приложения. В отличие от ISO/IEC 27001 (управление ИБ на уровне организации), 27034 спускается на уровень приложения: как организовать процесс, чтобы безопасность была не разовой проверкой, а воспроизводимым свойством разработки. Ключевая идея — Application Security Controls (ASC): переиспользуемые контроли, привязанные к шагам жизненного цикла.
Для курса 27034 — это рамка, в которую SCA/OSA встраивается как набор ASC: инвентаризация компонентов, проверка уязвимостей и лицензий становятся контролями с заданной точкой применения в pipeline и проверяемым результатом.
Ключевые требования
Релевантные для SCA/OSA идеи (формулировки обобщённые):
- Контроль как переиспользуемая единица (ASC). Мера безопасности описывается как контроль с условиями применения и способом верификации, а не как разовое действие.
- Привязка к жизненному циклу. Каждый контроль имеет точку применения (например, SCA — на этапе сборки/CI) и измеримый результат.
- Уровень доверия приложения. Глубина контролей соразмерна требуемому уровню доверия к приложению (Application Security Level).
- Воспроизводимость и верифицируемость. Применение контроля и его результат подтверждаются на каждой итерации, а не однократно.
- Управляемость процессом. Контроли управляются как часть организационного процесса (ONF/ANF — нормативная и прикладная рамки приложения).
Что считать evidence
Артефакты соответствия - Описание SCA/OSA-контролей как ASC: точка применения в CI, критерий прохождения, ответственная роль. - Конфигурация CI-гейта (SBOM-gate, проверка уязвимостей/лицензий) как реализация контроля на нужном шаге. - Регламент композиционного анализа, фиксирующий процесс применения контролей. - Записи прохождения гейта по релизам — доказательство воспроизводимости контроля.
SCA/OSA-контроли как Application Security Controls (ASC):
| ASC (контроль) | Шаг жизненного цикла | Артефакт верификации |
|---|---|---|
| Инвентаризация компонентов | Сборка | SBOM на сборку |
| Проверка уязвимостей | CI перед релизом | Отчёт сканера, статус gate |
| Проверка лицензий | CI / приёмка | Реестр лицензий, статус политики |
| Контроль происхождения | Допуск артефакта | Подпись/attestation, запись проверки |
Маппинг на практики и шаблоны
- Контроль как CI-гейт: П16. GitLab CI security gate и Требования к CI security gate.
- Процесс применения контролей: Регламент композиционного анализа ПО.
- Трассировка контролей: Матрица соответствия требованиям.
- Контекст модулей: М11. Корпоративный кейс и М13. Нормативная трассировка.
Ограничение
Это учебная карточка Карточка трактует подход 27034 под задачи курса и не воспроизводит текст стандарта. Точную структуру ASC, ONF/ANF и уровней доверия для аудита сверять с официальными частями ISO/IEC 27034 и регламентами Организации.