ГОСТ Р ИСО/МЭК 2700&—2008
Приложение А
(справочное)
Анализ сложности организации-клиента и аспектов, специфических для секторов
торгово-промышленной деятельности
А.1 Потенциал риска организации-клиента
При определении времени аудита и компетентности аудитора должна учитываться сложность СМИБ. Данное
приложение является примером анализа организации-клиента.
Категория сложности, установленная для СМИБ. может использоваться для определения следующего:
a) требования к компетентности аудиторов для аудита СМИБ (пример которых дан в приложении В);
b
) требования ко времени аудита СМИБ (пример которых дан в приложении С).
Таблица А.1 является общим перечнем возможных факторов, рассматриваемых при определении сложности
СМИБ. Может возникнуть необходимость адаптации данной таблицы к конкретным обстоятельствам или включе
ния специальных факторов.
Т а б л и ц а А.1— Критерии сложности области действия системы менеджмента информационной безопасности
Фактор сложности
Категория
Значимость
оысоая
средняя
мимля
Количество сотрудни
ков ♦ штат подрядчиков
2 1000
2 200
< 200
Шкала реализации СМИБ
Административная информацион
ная система
Системы, связанные с управлени
ем производством
Системы, связанные с продажей/
распространением/общим обслужива
нием
Информационныетехноло-
гии/Информационные услуги и связан
ные с ними системы
Системы, связанные со строитель-
ством/судостроение м/машиностроени-
ем
Количество пользова
телей
21000000
2 200000
< 200000
Финансовые системы
Правительственные, учебные, ме-
дициские/больничные системы
Количество объектов
25
22
1
Шкала реализации СМИБ
Физическая безопасность и безо
пасностьокружающейсреды
(ИСО/МЭК 27001:2005. А.9)
Количество серверов
2 100
2 10
< 10
Шкала реализации СМИБ
Физическая безопасность и безо
пасность окружающей среды (А.9)
Управление доступом (ИСО/МЭК
27001:2005. А.11)
Телекоммуникации и управление
работой (ИСО/МЭК 27001:2005. А.10)
Количестворабочих2 3002 50
станций + ПК * портатив
ных компьютеров
<50Контрольдоступа(ИСО/МЭК
27001:2005. А.11)
Количество персона2 1002 20
ла. занимающегося раз
работкой приложений и
техническим обслужива
нием
< 20Приобретение.разработка и обслу
живаниеинформационныхсистем
(ИСО/МЭК 27001:2005. А.12)
15