ГОСТ Р ИСО/МЭК 27006—2008
Приложение В
(справочное)
Примерные области компетентности аудитора
В.1 Общая оценка компетентности
Существует несколько способов, с помощью которых аудитор может продемонстрировать свои знания и
опыт, например, посредством использования общепризнанных квалификаций, регистрации под IRCA или любой
другой признанной формы регистрации аудитора. Требуемый уровень компетентности для аудиторской группы
должен быть установлен, согласуясь с промышленной/технологической областью организации и фактором слож
ности.
В.2 Специфическая оценка компетентности
В.2.1 Знание мер управления из приложения А ИСО/МЭК 27001:2005
Ниже изложены типовые вопросы проведения аудита СМИБ. Кроме знания мер управления из приложения А
ИСО/МЭК 27001:2005. которые перечислены ниже, аудиторы должны быть осведомлены о других стандартах из се
рии ИСО/МЭК 27000.
Т а б л и ц а В.1 — Меры управления
Типовые вопросы аудита
Источники, определяющие меры управления
Знание и опыт в политиках и требованиях деловой
деятельности к информационной безопасности
Политика безопасности
Общее знание и опыт а бизнес-процессах, практиках
и организационных структурах
Организация информационной безопасности
Знание оценки активов, материально-производст
венных запасов, классификаций и приемлемого исполь
зования политик
Управление активами
Общее знание и опыт в процессах и процедурах, ис
пользуемых департаментами трудовых ресурсов
Безопасность трудовых ресурсов
Знание физической безопасности окружающей среФизическая безопасность и безопасность окружаю
ды щей среды
Знание новейших стандартов, процессов, техник иУправление коммуникациями и операциями
методов, использованных для информационной безоУправление доступом
пасности. включая мероприятия менеджмента, а такжеПриобретение, разработка и обслуживание инфор
наличие соответствующего уровня и опыта проведения мационных систем
технической экспертизы. Это включает в себя совре
менные знания некоторых общих практик бизнеса
Современные знания и опыт в процессах и процедуМенеджмент инцидентов информационной безопас
рах менеджмента инцидентов ности
Современные знания и опыт в стандартах, процес
сах. планах и методах испытаний непрерывности бизне
са
Управление непрерывностью бизнеса
Современное знание вопросов контрактов бизнеса и
общих законов и положений, связанных со СМИБ
Соответствие
В.2.2 Типичные знания, связанные с системой менеджмента информационной безопасности
Аудиторы должны знать и понимать следующие процессы проведения аудита и объекты СМИБ:
программирование и планирование аудита СМИБ:
тип и методология аудита СМИБ;
аудиторский риск;
анализ процессов информационной безопасности;
цикл Деминга (РОСА) для постоянного совершенствования.
18