Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
BS ISO IEC 27034——应用安全标准系列
Information technology — Security techniques — Application security（2011/2015/2016 版系列）
🔐 BS ISO/IEC 27034 是 BSI 采纳 ISO/IEC 27034 国际标准形成的英国标准系列，专门针对应用安全（Application security）。该系列由 ISO/IEC JTC 1 下属的 SC 27（信息安全管理技术）分技术委员会制定，英国方面由技术委员会 IST/33（IT 安全技术）负责参与。与聚焦组织层面信息安全的 ISO/IEC 27001/27002 不同，27034 聚焦于应用程序本身的安全，为软件在其生命周期中的安全提供框架与要求。随着软件供应链与 Web 应用攻击日益频发，应用安全已成为组织信息安全体系不可回避的一环。
💡 27001 管”组织怎么管安全”，27034 管”应用怎么做得安全”。前者是管理体系，后者是工程规范，二者结合才能覆盖从组织到代码的完整安全链条。
一、系列概述与定位 📌
本批次收录的 BS ISO/IEC 27034 系列包含三个部分：第 1 部分：概述与概念（2011 版，含 2014 年 1 月勘误）、第 2 部分：组织规范框架（2015 版）以及第 6 部分：具体应用的安全指南（2016 版）。其中第 1 部分是整个系列的基础，第 2 部分给出组织级框架，第 6 部分提供面向具体应用（含移动应用示例）的安全指南。
ISO/IEC 27034 引入了应用安全控制（ASC，Application Security Control）的概念，以”应用安全规范（ASF）”的形式为组织提供一套可执行的应用安全要求，覆盖从需求、设计、开发、测试到运行维护的软件全生命周期。ASC 与组织现有安全管理体系（如 ISO/IEC 27001）协同，形成”组织层—应用层”两级应用安全治理。
⚠️ 该系列各部分版本与修订状态不同：第 1 部分含 2014 年 1 月勘误，第 2 部分为 2015 版，第 6 部分为 2016 版。引用时应核对年号与修订，保持文档一致性。
二、系列构成与分部分要点 🔧
| 标准号 | 主题 | 版本信息 | 核心内容 |
|---|---|---|---|
| BS ISO/IEC 27034-1:2011（2014 勘误） | 概述与概念 | 第一版 2011-11-15，含 2014-01 勘误 | 建立应用安全框架、概念与 ASC 体系 |
| BS ISO/IEC 27034-2:2015 | 组织规范框架 | 第一版，2015-08-15 | 定义组织层面的应用安全规范框架 |
| BS ISO/IEC 27034-6:2016 | 具体应用的安全指南 | 第一版，2016-06-15 | 提供针对特定应用的 ASC 示例与安全指南 |
三、第 1 部分：概述与概念核心内容 🔍
第 1 部分是整个系列的基础，建立了应用安全的总体概念与框架。内容包括：应用安全的目标与范围、术语定义（如 ASC、ASF、应用安全规范）、应用安全控制的概念与分类、应用安全在软件生命周期中的集成方式，以及与组织安全管理体系（如 ISO/IEC 27001）的关系。规范明确了应用安全框架的层级结构与相关角色职责，为组织建立、实施与评估应用安全提供方法论。
第 1 部分还对应用安全的适用范围与边界作出说明，指出应用安全不仅涵盖代码级安全，还应覆盖应用运行所依赖的平台、数据与流程环境，体现”纵深防御”与”全生命周期”理念。
四、第 2 部分：组织规范框架 🏛️
第 2 部分定义了组织规范框架（Organization Normative Framework），帮助组织把 ISO/IEC 27034-1 的概念落地为可执行的规范体系。内容包括：组织如何定义与维护应用安全规范、如何分配角色与责任、如何选择与裁剪 ASC、如何评估应用的安全状态等。该部分把抽象的应用安全概念转化为组织可操作的制度、流程与模板，是组织实施 27034 的核心支撑。
💡 实施要点：组织宜建立统一的应用安全规范（ASF）库，并在立项、设计、编码、测试各阶段按需选取相应 ASC，实现”安全要求可追溯、安全控制可验证”。
五、第 6 部分：具体应用的安全指南 📱
第 6 部分提供了针对特定应用的安全指南（Security guidance for specific applications）。规范以 ASC 为例，展示了如何为具体应用制定安全控制；示例包括移动应用的 Java 代码安全审查等。通过具体案例，第 6 部分展示了 ASC 如何结合应用技术栈（如移动平台、Web 框架）落实为可执行的安全要求，为组织定制自身应用安全控制提供模板与示范。
六、应用实践与实施建议 🛠️
- 📋 安全开发生命周期：把 27034 的 ASC 嵌入 SDLC 的需求、设计、编码、测试与发布环节，实现”安全内建”。
- 🔗 与 27001 协同：将应用安全要求纳入组织信息安全管理体系，与风险处置、审计与合规联动。
- 🛡️ 安全评审：在项目立项与交付前开展应用安全评审，对照 ASC 清单逐项核查，形成可追溯记录。
- 🎓 团队能力：培训开发、测试与运维人员掌握应用安全控制方法，提升安全开发文化。
🚨 应用安全不能”事后补课”：等到上线后才修补漏洞，代价远高于在设计与编码阶段落实安全控制。应把安全要求前置，嵌入需求与设计评审。
七、常见问题解答 ❓
❓ 问：27034 与 27001 有何区别？
答：27001 是组织信息安全管理体系要求，27034 是应用安全标准，聚焦软件本身的安全；二者互补，构成组织到应用的安全治理链条。
答：27001 是组织信息安全管理体系要求，27034 是应用安全标准，聚焦软件本身的安全；二者互补，构成组织到应用的安全治理链条。
❓ 问：什么是 ASC？
答：ASC（Application Security Control）是应用安全控制，即针对某一应用或应用类型的一组安全要求，用于指导该应用的安全设计与验证。
答：ASC（Application Security Control）是应用安全控制，即针对某一应用或应用类型的一组安全要求，用于指导该应用的安全设计与验证。
❓ 问：该系列是否只适用于开发团队？
答：不限于开发团队。产品负责人、安全团队、测试与运维人员都应参与应用安全控制的选择、实施与验证。
答：不限于开发团队。产品负责人、安全团队、测试与运维人员都应参与应用安全控制的选择、实施与验证。
❓ 问：该系列是强制标准吗？
答：不是。它是自愿采用的安全工程标准，供组织在开发与运行应用时参考；某些行业或合同可能将其作为合规要求。
答：不是。它是自愿采用的安全工程标准，供组织在开发与运行应用时参考；某些行业或合同可能将其作为合规要求。
🔍 问：如何开始应用 27034？
答：先研读第 1 部分理解框架与概念，再依据第 2 部分建立组织规范框架，最后按第 6 部分的示例为具体应用定制 ASC 并嵌入开发流程。
答：先研读第 1 部分理解框架与概念，再依据第 2 部分建立组织规范框架，最后按第 6 部分的示例为具体应用定制 ASC 并嵌入开发流程。
