7.4.2.3. Определение условий для проведения мероприятий по оценке соответствия

Условиями для проведения мероприятий по оценке соответствия процесса разработки ОО требованиям безопасности являются:

- успешное прохождение этапов (задач) жизненного цикла ОО;

- получение формального заключения (результатов прохождения контрольных мероприятий по безопасности) о соответствии требованиям информационной безопасности от ответственных лиц на каждом этапе (задаче);

- получение документального подтверждения успешного переноса ОО в среду промышленной эксплуатации.

Разработчик самостоятельно определяет частоту проведения формальной оценки соответствия ОО требованиям настоящего раздела, но не реже срока, установленного нормативными правовыми актами. При этом Разработчик оценивает риски самостоятельно, и основанием для проведения формальной оценки могут, например, служить:

- изменения в составе средств обеспечения безопасной разработки кода, включая средства обеспечения информационной безопасности (например, замена либо добавление нового анализатора исходного кода);

- изменения ролевой модели процесса разработки;

- изменения в подсистемах обеспечения ИБ, компонентах ИБ ОО;

- изменения ролевой модели ОО;

- необходимость формирования дополнительных событий аудита информационной безопасности ОО;

- разработка ОО, обрабатывающего ранее не предусмотренный тип информации ограниченного доступа, подлежащей защите в соответствии с требованиями нормативных документов;

- изменение схем взаимодействия ОО со смежными системами;

- расширение или изменение структуры базы данных ОО;

- мажорный релиз ОО.

Указанный перечень не является исчерпывающим и при необходимости может быть расширен. В целях принятия обоснованного решения о проведении оценки необходимо включать вышеуказанные сведения в функциональные требования, что в том числе позволит более качественно подготовить техническое задание на разработку (или иной аналогичный документ: частное техническое задание, задание на разработку и т.д.).

При этом заключением по итогам проведенной оценки будут являться результаты контрольных мероприятий по ИБ с учетом соответствия ОО функциональным требованиям безопасности (ФТБ), результаты проведенных контролей безопасности (security controls), работ по анализу уязвимостей и тестированию защищенности ОО при подтвержденном общем соответствии документированному процессу безопасной разработки.