ГОСТ Р ИСО/МЭК 27006—2008
Приложение С
(справочное)
Продолжительность аудита
С.1 Введение
В настоящем приложении содержится дополнительная информация, касающаяся пунктов 9.1, 9.2. 9.3 и 9.4
ИСО/МЭК 17021:2006. Ее следует читать вместе с пунктами ИБ 9.1.2. ИБ 9.1.3. ИБ 9.1.5. ИБ 9.1.6. ИБ 9.2.3.1, И6
9.2.3.2 и ИБ 9.2.3.3 настоящего стандарта. Это приложение представляет собой руководство для органа сер
тификации по разработке собственных процедур определения времени, требуемого для сертификации области
действия СМИБ организаций-клиентов различных размеров и сложности в широком спектре деятельности.
Органам сертификации необходимо определить продолжительность аудита, которая должна затрачиваться
на первоначальную сертификацию, надзор и повторную сертификацию для каждой организации-клиента и серти
фицированной СМИБ. Использование данного приложения в период планирования аудита может привести к
фор мированию последовательного подхода к определению соответствующего времени, требуемого
аудитору. В руководстве, приведенном в настоящем приложении, также учитываются гибкость в отношении
результатов ауди та. особенно во время его первого этапа, и сложность рассматриваемой области действия
СМИБ.
С.2 Процедура определения продолжительности аудита
Опыт показывает, что область действия СМИБ и количество сотрудников (как проиллюстрировано а таблице
времени аудитора в пункте С.З). размер, характеристики, сложность и значимость потенциальных рисков информа
ционной безопасности (ниже объясняется более подробно) обусловливают время для аудитов данной СМИБ. В
пункте ИБ 9.1.3. а также в пунктах ИБ 9.2.3.1. ИБ 9.2.3.2 и ИБ 9.2.3.3 перечисляются критерии, которые должны учи
тываться при определении необходимого времени аудитора. Эти и другие факторы должны рассматриваться в про
цессе анализа договора органа сертификации ввиду их потенциального влияния на назначение времени аудитора.
Важно отметить, что все эти факторы должны приниматься во внимание при определении продолжительнос
ти аудита и что таблица времени аудитора в пункте С.З не может использоваться отдельно. Следующие примеры
иллюстрируют факторы, которые могут повлиять на продолжительностьаудита, и конкретизируют перечень факто
ров. данных в пункте ИБ 9.1.3. а именно:
факторы, касающиеся размера области действия СМИБ (например, количество использованных информаци
онных систем, обьем обрабатываемой информации, количество пользователей, количество привилегированных
пользователей, количество платформ ИТ. количество объектов и их размер);
факторы, касающиеся сложности СМИБ (например, критичность информационных систем, ситуация риска
СМИБ. объемы и виды обрабатываемой секретной и критической информации, количество и типы электронных
сделок, количество и объем опытно-конструкторских работ, размер удаленного рабочего места, объем документа
ции СМИБ):
вид(ы) деятельности, осуществляемой а области действия СМИБ. требования безопасности, правовые, регу
лирующие. договорные и требования, касающиеся этих видов деятельности.
объем и разнообразие технологий, использованных в реализации различных компонентов СМИБ (такие как:
внедренные меры управления, контроль документации и/или управление процессом, корректирующие/лредупре-
дительные действия, информационные системы, системы ИТ. сети, например, являются ли они фиксированными,
мобильными, беспроводными, внешними, внутренними):
количество объектов в пределах области действия СМИБ. насколько они идентичны или различны и будет ли
проверяться вся совокупность объектов или выборка из них;
ранее продемонстрированное функционирование СМИБ;
объем аутсорсинга и мероприятий третьей стороны, использованных в области действия СМИБ и зависи
мость от этих услуг;
стандарты, законы и нормативы, применяющиеся к сертификации, и специфическиедля сектора требования,
которые могут применяться.
Сертификация СМИБ обычно занимает больше времени, чем сертификация системы менеджмента качества
или системы экологического менеджмента, из-за возросших требований к СМИБ. таких как требования к политике
СМИБ. менеджменту риска, целям управления СМИБ и средствам контроля. Орган сертификации обязан.
a) проверить правильность и последовательность метода, посредством которого организация-клиент опре
деляет значимость рисков информационной безопасности и воздействий на нее;
b
) подтвердить, что система, предназначеннаядля достижения соответствия (со всеми соответствующими зако
нами идругими требованиями, относящимися кСМИБ).способна это выполнить ичто она работает иподдерживается;
c) подтвердить, что цели управления и средства контроля выбраны и реализованы правильно, их результа
тивность оценивается и что процесс достижения «предотвращения и соответствующего реагирования на наруше
ния безопасности» является правильным и соблюдается;
d) подтвердить выполнение требований документации СМИБ организации-клиента;
e) реагировать на возросшие требования, появившиеся в результате первого этапа аудита.
20