Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
ISO/IEC 27034-7：应用安全——保证框架
通过结构化安全保证构建应用信任
引言：应用安全中的保证差距
ISO/IEC 27034-7 解决了应用安全中的一个持续挑战：利益相关者如何确信安全控制措施已被正确实施并在整个生命周期内保持有效？该标准定义了一个保证框架，提供结构化的、可重复的过程，用于在整个软件生命周期中验证应用安全。该框架通过在控制规范（第2部分）和运营管理（第5部分）之间引入明确的保证级别、证据要求和审查程序，弥合了两者之间的差距。
ISO/IEC 27034-7 中的保证框架设计为可扩展的——开发移动游戏的小型创业公司可以与跨国银行应用相同的原则，保证活动的深度和严谨性与应用程序的风险分类相匹配。
保证级别及其确定
该标准定义了三个保证级别——基本级、增强级和严格级——每个级别对应着由于应用程序关键性、数据敏感性和监管暴露程度而日益增加的置信度要求。保证级别的确定过程考虑的因素包括：最大可容忍停机时间、安全漏洞的潜在财务影响、受影响用户数量以及法律或合同安全义务。一旦确定，保证级别将驱动特定的验证活动、证据深度、审查员独立性要求和重新验证频率。
| 保证级别 | 典型应用 | 验证活动 | 审查独立性 | 重新验证周期 |
|---|---|---|---|---|
| 基本级 | 内部工具、低风险公共信息系统 | 自动SAST、同行代码审查、自我评估 | 同团队 | 年度或重大发布时 |
| 增强级 | 面向客户的Web应用、关键业务内部系统 | SAST+DAST+依赖扫描、威胁建模、手动渗透测试 | 组织内独立团队 | 半年一次及每次重大发布 |
| 严格级 | 金融交易平台、医疗系统、关键基础设施 | 所有增强级活动+正式验证、第三方审计、红队演练、供应链分析 | 外部第三方 | 每季度及任何重大变更时 |
采用三级保证模型的组织报告称，相较于对所有应用采用统一严格级别，安全测试成本降低了40%，同时最高风险系统的覆盖率反而得到了提升。
证据收集与保管链
ISO/IEC 27034-7 框架的一个显著特点是对证据管理的重视。该标准要求保证证据——包括测试结果、审查记录、配置快照和漏洞修复确认——必须被收集、加时间戳并以可验证的保管链存储。这一要求既支持内部治理，也支持外部审计场景，使组织能够在安全事件发生时证明其尽职调查。
证据框架定义了证据类别：直接证据（测试输出、扫描报告）、间接证据（流程遵守记录、培训证书）和佐证证据（同行评审、独立确认）。每个类别在保证论证中具有不同的权重，该标准提供了关于结合证据类型以构建有说服力的保证案例的指导。对于严格级的应用，每个控制目标至少需要两个独立的证据来源。
标准制定过程中发现的一个常见陷阱是，组织收集了大量证据，却没有明确的充分保证标准。该标准明确警告不要进行”打勾合规”，并强调证据质量比数量更重要——一次提供深度覆盖的精心执行的渗透测试比数十次浅层的自动化扫描更有价值。
持续保证与偏差管理
ISO/IEC 27034-7 认识到应用安全不是时间点上的成就，而是需要持续监控的持续属性。该框架定义了处理偏差——即应用程序未达到其分配保证级别的情况——的流程，包括风险接受程序、修复时间表、升级路径和临时补偿控制要求。偏差必须正式记录，附有理由、到期日以及具有足够权限接受残余风险的高级管理人员的批准。
持续保证流程与现有的变更管理和 DevSecOps 管道集成。自动化门控可以在 CI/CD 管道的每个阶段执行保证要求——例如，如果最新扫描中的关键严重性发现未修复或未正式接受，则阻止生产部署。该标准提供了在自动化与人工判断之间取得平衡的指导，认识到某些保证决策需要自动化工具无法提供的上下文理解。
偏差管理流程是框架的安全阀，但如果被滥用，也可能成为其最大的弱点。组织必须建立可接受的偏差的明确标准，并确保临时接受不会变成永久性的——该标准建议最长的偏差期限为90天，此后应用程序必须满足其保证级别或重新分类到较低风险级别并获得相应的业务确认。
常见问题解答
问：保证框架如何与现有的合规计划（如SOC 2或ISO 27001）互动？
答：ISO/IEC 27034-7 保证框架通过提供一般管理体系标准未涵盖的应用特定深度来补充现有合规计划。SOC 2或ISO 27001认证提供组织和流程级别的保证，而27034-7则填补了单个应用程序级别的空白。
答：ISO/IEC 27034-7 保证框架通过提供一般管理体系标准未涵盖的应用特定深度来补充现有合规计划。SOC 2或ISO 27001认证提供组织和流程级别的保证，而27034-7则填补了单个应用程序级别的空白。
问：安全预算有限的小型组织能否实施此框架？
答：可以。该标准的三级保证结构明确设计为可扩展的。小型组织通常以基本级或增强级运行，利用自动化工具和云原生安全服务而非专门的安全人员。关键是按比例应用该框架的结构。
答：可以。该标准的三级保证结构明确设计为可扩展的。小型组织通常以基本级或增强级运行，利用自动化工具和云原生安全服务而非专门的安全人员。关键是按比例应用该框架的结构。
问：增强级保证的独立审查员应具备哪些资质？
答：该标准建议审查员持有公认的安全认证（如CISSP、CSSLP、OSCP），并具有被审查应用的特定技术栈和威胁环境的经验。对于严格级，审查团队应至少包括一名具有正式安全架构资质认证的成员。
答：该标准建议审查员持有公认的安全认证（如CISSP、CSSLP、OSCP），并具有被审查应用的特定技术栈和威胁环境的经验。对于严格级，审查团队应至少包括一名具有正式安全架构资质认证的成员。
问：如何处理无法满足增强级或严格级保证要求的遗留应用程序？
答：该标准通过过渡性合规路径明确处理遗留应用程序。遗留应用程序必须记录其当前安全态势，识别与目标保证级别之间的差距，制定修复路线图，并在修复完成前在增强监控和补偿控制措施下运行。如果修复在经济上不可行，则需要在适当管理层进行正式风险接受。
答：该标准通过过渡性合规路径明确处理遗留应用程序。遗留应用程序必须记录其当前安全态势，识别与目标保证级别之间的差距，制定修复路线图，并在修复完成前在增强监控和补偿控制措施下运行。如果修复在经济上不可行，则需要在适当管理层进行正式风险接受。
