ГОСТ Р ИСО/МЭК 27006—2008
Приложение О
(справочное)
Руководство по анализу реализованных мер управления
из приложения А ИСО/МЭК 27001:2005
0.1 Цель
В настоящем приложении представлено руководство по анализу внедрения мер управления, перечисленных
в приложении А ИСО/МЭК 27001:2005. и сбору свидетельств аудита в отношении эффективности этих мер во вре
мя первоначального аудита и последующих инспекций с целью надзора. Внедрение всех средств контроля, вы
бранных организацией-клиентом для СМИБ (согласно утверждению о применимости), должно проверяться во
время второго этапа первоначального аудита и во время деятельности, связанной с надзором или повторной сер
тификацией.
Свидетельство аудита, которое собирает орган сертификации, должно быть достаточным, чтобы сделать вы
вод об эффективности мер управления. Каким образом предполагается осуществлять управление, должно быть
определено в процедурах или политиках организации-клиента, заданных или взятых из утверждения о примени
мости. Очевидно, что меры управления вне области действия СМИБ проверяться не будут.
0.1.1 Свидетельство аудита
Наилучшее свидетельство аудита может быть получено в процессе визуального наблюдения аудитора (на
пример. что запираемая дверь действительно заперта; что служащие действительно подписывают соглашения о
соблюдении конфиденциальности; что перечень активов существует и содержит зарегистрированные активы: что
находящиеся под наблюдением параметры настройки являются адекватными и т.д.). Свидетельство может быть
получено на основе просмотра результатов осуществления контроля (например, распечаток прав доступа, подпи
санных соответствующим уполномоченным лицом; записей о разрешении инцидентов, полномочий для обработки,
подписанных соответствующим уполномоченным лицом; протоколов административных (или других) совещаний и
т.д.). Свидетельство может быть результатом прямого испытания аудитором (или повторного действия) средств
контроля (например, попытки выполнить задачи, заявленные как запрещенные средствами контроля: определе
ние. установлено ли программное обеспечение для защиты от вредоносной программы и обновляется ли оно на
машинах, предоставляются ли права доступа (после проверки полномочий) и т.д.). Свидетельства могут собирать ся
посредством проведения опроса сотрудников/подрядчиков о процессах и средствах контроля и определения, яв
ляются ли они действительно корректными.
0.2 Как работать с таблицей 0.1
0.2.1 Колонки «Организационный контроль» и «Технический контроль»
«X» в соответствующей колонке показывает, является ли контроль организационным или техническим. Так
как некоторые средства контроля являются как организационными, так и техническими, для таких средств контроля
ставятся отметки в обеих колонках.
Свидетельства функционирования организационных средств контроля могут собираться при помощи анали
за записей о функционировании средств контроля, опросов, наблюдения и физического осмотра. Свидетельства
функционирования технических средств контроля зачастую могут собираться при помощи испытания системы или
посредством использования специальных инструментов аудита/ предоставления отчетности.
0.2.2 Колонка «Испытание системы»
«Испытание системы» означает прямую проверку систем (например, проверка параметров настройки сис
темы или конфигурации). Ответы на вопросы аудиторов можно получить на пульте управления системы, или они
могут содержаться в оценке результатов тестирования инструментальных средств. Если организация-клиент
имеет компьютерное инструментальное средство, известное аудитору, то оно может использоваться для поддер
жки аудита или для проверки результатов оценки, осуществленной организацией-клиентом (или ее
субподрядчи ками).
Существуют две категории проверки технических средств контроля:
«возможно»: тестирование системы возможно для оценки введения в действие средства контроля, но обыч
но это не является необходимым;
«рекомендуется»: тестирование системы обычно необходимо.
0.2.3 Колонка «Визуальная проверка»
«Визуальная проверка» означает, что обычно средства контроля для оценки их эффективности требуют ви
зуального осмотра на месте. Это значит, что недостаточно проверить соответствующую документацию на бумаге
или при помощи опросов — аудитор должен проверить это средство контроля на месте его эксплуатации.
D.2.4 Колонка «Руководство по анализу аудита»
В колонке «Руководство по анализу аудита» представлены возможные области повышенного внимания для
оценки классифицируемой меры управления в качестве дальнейшего руководства для аудитора.
24