ГОСТ Р ИСО/МЭК 27006—2008
b
) аудиторская группа должна быть компетентной для отслеживания указаний на инциденты бе
зопасности в СМИБ организации-клиента к соответствующим элементам СМИБ;
c) аудиторская группа должна обладать соответствующим опытом работы и применять вышеука
занные пункты на практике (это не значит, что аудитор должен быть опытным во всех областях инфор
мационной безопасности, но в целом аудиторская группа должна иметь достаточные знания и опыт,
чтобы охватить всю область действия проверяемой СМИБ).
Аудиторская группа может состоять из одного человека при условии, что он удовлетворяет всем
вышеизложенным критериям пункта а).
9.2.1.1 ИБ 9.2.1.1 Демонстрация компетентности аудиторов
Аудиторы должны быть способны доказать свои знания и опыт, как указано выше, например по
средством:
a) общепризнанных квалификаций по СМИБ:
b
) регистрации в качестве аудитора.
c) пройденных курсов подготовки по СМИБ;
d) последних документов, подтверждающих факт непрерывного повышения квалификации;
e) практической демонстрации проведения аудита реальных систем клиента в присутствии дру
гих аудиторов.
9.2.2 ИБ 9.2.2 Общая подготовка к первоначальному аудиту
Орган сертификации должен потребовать от организации-клиента сделать все необходимые при
готовления к проведению сертификационного аудита, включая приготовления для изучения документа
ции и доступ ко всем областям, документам (включая отчеты о внутреннем аудите и отчеты о
независимых проверках информационной безопасности) и персоналу с целью сертификационного ау
дита, аудита повторной сертификации и удовлетворения жалоб.
До проведения сертификационного аудита на месте организация-клиент должна предоставить
следующую информацию;
a) общую информацию, касающуюся СМИБ и осуществляемых ею действий;
b
) копию документации СМИБ. требуемую по ИСО/МЭК 27001:2005, пункт 4.3.1.
9.2.3 ИБ 9.2.3 Первоначальный сертификационный аудит
9.2.3.1 ИБ 9.2.3.1 Первый этап аудита
На этом этапе аудита орган сертификации должен получить документацию по проектированию
СМИБ. включая документацию, требуемую по ИСО/МЭК 27001:2005, пункт 4.3.1.
Цель первого этапа аудита — обеспечить концентрацию на планировании аудита второго этапа
путем ознакомления со СМИБ организации-клиента в контексте ее политики и целей и. в особенности,
состояния готовности организации-клиента к аудиту.
Первый этап аудита включает проверку документации (но не должен ограничиваться ею). Орган
сертификациидолжен договориться с организацией-клиентом о месте и времени проведения проверки
документов. В любом случае проверка документов должна быть завершена до начала второго этапа
аудита.
Результаты первого этапа аудита должны быть задокументированы в письменном отчете. Орган
сертификациидолжен проанализировать отчет первогоэтапа аудитадо вынесения решения о проведе
нии второго этапа аудита и для выбора членов аудиторской группы с необходимым уровнем компетен
тности для проведения второго этапа.
Орган сертификациидолжен поставить в известность организацию-клиента о дополнительной ин
формации идокументах, которые могут потребоватьсядля тщательного изучения во время второго эта па
аудита.
9.2.3.2 ИБ 9.2.3.2 Второй этап аудита
9.2.3.2.1 Второй этап аудита всегда проводится на объектах организации-клиента. На основе по
лученныхданных, отраженных в отчете о результатах первого этапа аудита, орган сертификации наме
чает план проведения второго этапа аудита. Целями второго этапа аудита являются:
a) подтверждение, что организация-клиент придерживается собственных политики, целей и про
цедур;
b
) подтверждение соответствия СМИБ всем требованиям стандарта ИСО/МЭК 27001:2005 и це
лям политики организации-клиента.
9.2.3.2.2 Для осуществления этого аудит должен быть сосредоточен на следующем:
ю