SA-03 - Cycle de développement des systèmes (PaFF)
Énoncés :
a. Acquérir, développer et gérer le système au moyen de [Affectation : cycle de développement des systèmes défini par l’organisation] qui comprend les facteurs à considérer en matière de sécurité et de protection de la vie privée de l’information
b. Définir et documenter les rôles et les responsabilités en matière de sécurité et de protection de la vie privée de l’information tout au long du cycle de développement des systèmes
c. Identifier les personnes qui assument des rôles et des responsabilités en matière de sécurité et de protection de la vie privée de l’information
d. Intégrer le processus de gestion des risques liés à la sécurité et à la protection de la vie privée de l’information de l’organisation dans les activités du cycle de développement des systèmes
a. gestion du développement applicatif sécuritaire
Un processus de cycle de développement des systèmes constitue une condition essentielle à la réussite des étapes de développement, de mise en oeuvre et d’exploitation des systèmes. L’intégration précoce des facteurs à considérer en matière de sécurité et de protection de la vie privée dans le cadre du cycle de développement des systèmes est un principe fondamental de l’ingénierie de la sécurité et de la protection de la vie privée des systèmes. L’application des contrôles nécessaires pendant le cycle de développement des systèmes exige une compréhension élémentaire de la sécurité et de la protection de la vie privée de l’information, des menaces, des vulnérabilités, des effets négatifs et des risques auxquels s’exposent les missions et les activités prioritaires de l’organisation. Les principes d’ingénierie de la sécurité du contrôle SA-08 aident les personnes à concevoir, à coder et à tester adéquatement les systèmes et les services connexes. Les organisations comprennent le personnel qualifié (par exemple, une ou un cadre supérieur de la gouvernance en matière de sécurité du ministère, une ou un haut fonctionnaire ou cadre supérieur en matière de protection de la vie privée, les architectes en sécurité et en protection de la vie privée, et les ingénieures et ingénieurs en sécurité et en protection de la vie privée) qui prend part aux processus du cycle de développement des systèmes et veille à que les exigences définies en matière de sécurité et de protection de la vie privée soient intégrées dans les systèmes de l’organisation. Les programmes de formation en sécurité et en protection de la vie privée basée sur les rôles peuvent permettre aux personnes qui assument des rôles clés en matière de sécurité et de protection de la vie privée d’acquérir l’expérience, les compétences et l’expertise nécessaires à la conduite des activités constitutives du cycle de développement des systèmes. La parfaite intégration des exigences de sécurité et de protection de la vie privée à l’architecture d’entreprise permet également d’assurer que les facteurs importants à considérer en matière de sécurité et de protection de la vie privée sont pris en compte tout au long du cycle de vie des systèmes et qu’ils sont directement liés aux processus liés à la mission et aux activités de l’organisation. Le processus facilite également l’intégration des architectures de sécurité et de protection de la vie privée de l’information à l’architecture d’entreprise, conformément aux stratégies de gestion des risques de l’organisation. Comme le cycle de développement des systèmes comprend plusieurs organisations (par exemple, des fournisseurs externes, des développeuses et développeurs, des intégratrices et intégrateurs, des fournisseurs de service), les fonctions et les contrôles de gestion des risques liés à la chaîne d’approvisionnement jouent des rôles importants dans la gestion efficace du système durant leur cycle de vie.