ГОСТ Р ИСО/МЭК 2700&—2008
a) оценке рисков информационной безопасности и на том, дают ли эти оценки сопоставимые и
воспроизводимые результаты;
b
) требованиях к документации, перечисленных в ИСО/МЭК 27001:2005, пункт 4.3.1;
c) выборе целей контроля и средств контроля, основанных на оценке риска и процессах обработ
ки риска;
d) анализе результативности СМ ИБ и измерениях результативности средств контроля информа
ционной безопасности, составлении отчетов и проведении анализа в отношении целей СМИБ;
e) внутренних аудитах СМИБ и анализе со стороны руководства;
0 ответственности руководства за политику информационной безопасности;
д) соответствии между выбранными и внедренными средствами контроля, заявлении о примени
мости и результатахоценки степени риска, процессе обработки риска, а также политики ицеляхСМИБ;
h) введении в действие средств контроля (см. приложение D). принимая во внимание измерения
результативности средств контроля организации-клиента (см. d)]. чтобы определить, реализуются ли
средства контроля и эффективны ли они для достижения намеченных целей;
i) программах, процессах, процедурах, записях, внутренних аудитах и анализах эффективности
СМИБ с целью обеспечения их прослеживаемости до решений менеджмента, политики и целей СМИБ.
9.2.3.3 ИБ 9.2.3.3 Особые элементы аудита СМИБ
Функцией органа сертификации является установление последовательности для организа
ции-клиента в создании и поддержании процедур по идентификации, изучению и оценке угроз активам,
связанным с информационной безопасностью, уязвимостью и воздействием на организацию-клиента.
Органы сертификации должны:
a) требовать от организации-клиента свидетельства, что анализ угроз, связанных с информаци
онной безопасностью, является значимым и соответствующим работе организации-клиента;
П р и м е ч а н и е — Организация-клиент отвечает за определение критериев, ло которым риски организа
ции-клиента. связанные с информационной безопасностью, идентифицируются как значительные, и за разработку
процедуры (процедур), необходимой для осуществления этого определения.
b
) установить, согласуются ли процедуры организации-клиента по идентификации, изучению и
оценке угроз, связанных с информационной безопасностью активов, уязвимости и воздействий, и ре
зультаты их применения с политикой, целями и планами организации-клиента.
Орган сертификации должен также установить, являются ли процедуры, используемые в анализе
значимости, надежными и надлежащим образом реализованными. Если угроза активам, связанная с
информационной безопасностью, уязвимость или воздействие на организацию-клиента идентифициро
ваны как значимые, их менеджмент должен осуществляться в рамках СМИБ.
9.2.3.3.1 Правовое и нормативное соответствие
Поддержание и оценка выполнения правовых и нормативных норм являются обязанностью орга
низации-клиента. Орган сертификации должен ограничиваться проверками и выборками для создания
доверия к тому, что СМИБ функционирует в данном направлении. Орган сертификации должен под
тверждать наличие у организации-клиента системы менеджмента для установления правового и норма
тивного соответствия, приемлемого для рисков информационной безопасности и воздействий на нее.
9.2.3.3.2 Интеграция документации системы менеджмента информационной безопасности
с документацией других систем менеджмента
Организация-клиент может комбинироватьдокументацию СМИБ сдокументациейдругих систем
менеджмента (таких, как система менеджмента качества, охраны труда, экологического менеджмен
та). если СМИБ может быть четко идентифицирована вместе с соответствующими средствами других
систем.
9.2.3.3.3 Объединение аудитов системы менеджмента
Орган сертификации может предложить сертификацию другой системы менеджмента, связанной
с сертификацией СМИБ, или сертификацию только СМИБ.
Аудит СМИБ может объединяться с аудитами других систем менеджмента. Это объединение воз
можно. если аудиты удовлетворяют всем требованиям по сертификации СМИБ. Все элементы, значи
мые для СМИБ. должны быть четко выраженными и быть легко идентифицируемыми в отчетах о
результатахаудитов. Объединениеаудитов недолжноотрицательно влиять на качествоаудита СМИБ.
П р и м е ч а н и е — ИСО 19011 предоставляет руководство ло проведению совместных аудитов систем ме
неджмента-
11