ГОСТ Р ИСО/МЭК 27006—2008
9.3.1.3Надзор, осуществляемый органом сертификации, должен по меньшей мере выполняться
в соответствии с пунктами, предусмотренными ИСО/МЭК 17021. При этом учитывается следующее:
a) орган сертификации должен быть способен адаптировать свою программу надзора к пробле
мам информационной безопасности, связанным с угрозами активам, уязвимостями и воздействиями на
организацию-клиента, и обосновать эту программу:
b
) программа надзора органа сертификации должна определяться органом сертификации. Кон
кретные даты инспекций могут согласовываться с сертифицируемой организацией-клиентом:
c) аудиты надзора могут объединяться с аудитами других систем менеджмента. В отчетах дол
жны четко указываться аспекты, значимые для каждой системы менеджмента;
d) орган сертификации требуется для осуществления надзора за надлежащим использованием
сертификата.
Во время аудитов надзора органы сертификации должны проверять записи обращений и жалоб,
представленных заранее на рассмотрение органу сертификации, и в случаях обнаружения какого-либо
несоответствия или невыполнения требований сертификации, записи об исследовании организаци
ей-клиентом собственной СМИБ ипроцедур, а также принятиисоответствующих корректирующих мер.
Отчет по надзору должен содержать в себе, в частности, информацию об устранении обнаружен
ных ранее несоответствий. Отчеты, полученные в результате надзора, должны собираться, чтобы в со
вокупности удовлетворять требованию пункта а).
9.4 Повторная сертификация
Применяются требования ИСО/МЭК 17021:2006, пункт 9.4. Кроме того, применяются следующие,
специфические для СМИБ. требования и положения.
9.4.1 ИБ 9.4 Аудиты повторной сертификации
Как изложено в настоящем стандарте, процедуры аудитов повторной сертификации должны со
гласовываться с процедурами, относящимися к сертификационному аудиту СМИБ организации-кли
ента.
Органы сертификации должны иметь строго определенные процедуры, утверждающие обстоя
тельства и условия, при которых поддерживаетсясертификация. Если во время надзора или повторных
сертификационныхаудитов выявляются несоответствия, то онидолжны эффективным образом коррек
тироваться в оговоренное органом сертификации время. Если коррекция не была проведена в согласо
ванный срок, область действия сертификации должна быть сокращена, действие сертификата должно
быть приостановлено или он должен быть отменен. Период времени, необходимый для устранения не
соответствия, должен соответствовать его серьезности и риску доверия к продуктам и услугам
организации-клиента.
9.5 Специальные аудиты
Применяются требования ИСО/МЭК 17021:2006. пункт 9.5. Кроме того, применяются следующие,
специфические для СМИБ. требования и положения.
9.5.1 ИБ 9.5 Особые случаи
Действия по надзору должны проводиться по специальному положению в случае осуществления
организацией-клиентом с сертифицированной СМИБ существенной модификации своей системы или
внесения изменений, которые могут затрагивать основу ее сертификации.
9.6 Приостановка, отмена или сокращение сферы действия сертификации
Применяются требования ИСО/МЭК 17021:2006, пункт 9.6.
9.7 Апелляции
Применяются требования ИСО/МЭК 17021:2006. пункт 9.7.
9.8 Жалобы
Применяются требования ИСО/МЭК 17021:2006, пункт 9.8. Кроме того, применяются следующие,
специфические для СМИБ. требования и положения.
9.8.1 ИБ 9.8 Жалобы
Жалобы являются источником информации о возможном несоответствии. Орган сертификации
должен потребовать от сертифицированной организации-клиента, чтобы при получениижалобы серти
фицированная организация-клиент установила и, при необходимости, сообщила причину жалобы,
включая любые предопределяющие (или предрасполагающие) факторы в рамках СМИБ организа
ции-клиента.
13