ГОСТ Р ИСО/МЭК 27006—2008
7 Требования к ресурсам
7.1 Компетентность руководства и персонала
Применяются требования ИСО/МЭК 17021:2006, пункт 7.1. Кроме того, применяются следующие,
специфические для СМ ИБ. требования и руководство.
7.1.1 ИБ 7.1 Компетентность руководства
В число основных элементов обеспечения компетентности, требующихся для проведения серти
фикации СМИБ. входят отбор, представление специалистов, чьи навыки и общая компетентность соот
ветствуют видам деятельности, предназначенным для аудита, и связанным с ними проблемам в
области информационной безопасности, и руководство ими.
7.1.1.1 Анализ компетентности и проверка договора
Орган сертификации должен гарантировать знание им технологических и правовых вопросов, от
носящихся к СМИБ организации-клиента, которую он оценивает.
Орган сертификации должен обладать эффективной системой для анализа компетентности в
сфере менеджмента информационной безопасности, применимой по отношению ко всем техническим
областям, в которых он действует.
В отношении каждого клиента орган сертификации должен быть способен продемонстрировать,
что он провеланализ необходимой компетентности (оценка навыков, соответствующихвыявленным по
требностям) исходя из требований каждого соответствующего сектора торгово-промышленныхотноше
ний до осуществления проверки договора. Затем орган сертификации должен осуществить проверку
договора с организацией-клиентом, основываясь на результатах анализа компетентности. В частности,
орган сертификации должен быть способен продемонстрировать, что он обладает компетентностью
для выполнения следующих видов деятельности:
a) изучение сфер деятельности организации-клиента и связанных с ними деловых рисков;
b
) определение уровня компетентности, необходимой органу сертификации для осуществления
сертификации в отношенииопределеннойдеятельности, связанной с информационной безопасностью,
угроз активам, уязвимостей и воздействий на организацию-клиента;
c) подтверждение наличия требуемой компетентности.
7.1.1.2 Ресурсы
Руководство органа сертификации должно располагать необходимыми процедурами и ресурсами
для определения компетентности отдельных аудиторов в отношении задач, которые они должны вы
полнить в области сертификации, в рамках которой они действуют. Компетентность аудиторов может
быть установлена на основе подтвержденного опыта и специального обучения или путем собеседова
ния (см. также приложение В). Орган сертификации должен быть способен эффективно поддерживать
связь с клиентами, которым он предоставляет услуги.
7.2Персонал, участвующий в деятельности по сертификации
Применяются требования ИСО/МЭК 17021:2006, пункт 7.2. Кроме того, применяются следующие,
специфические для СМИБ. требования и положения.
7.2.1 ИБ 7.2 Компетентность персонала органа сертификации
Органы сертификации должны иметь персонал, обладающий компетентностью в следующих воп
росах:
a) выбор аудиторов СМИБ, соответствующих целям аудита, и проверка их компетентности;
b
) инструктаж аудиторов СМИБ и организация необходимого обучения;
c) принятие решения о разрешении, поддержке, отмене, приостановке, продлении или сокраще
нии сроков действия сертификации;
d) организация и ведение работ по рассмотрению апелляций и жалоб.
7.2.1.1 Обучение аудиторских групп
У органа сертификации должны быть критерии обучения аудиторских групп, обеспечивающие:
a) знание стандарта СМИБ и других соответствующих нормативных документов;
b
) понимание вопросов информационной безопасности;
c) понимание оценки риска и менеджмента риска с точки зрения деятельности;
d) технические знания о деятельности, подлежащей аудиту;
e) общее знание нормативных требований, относящихся к СМИБ;
0 знание систем менеджмента;
д) понимание принципов аудита, основанных на ИСО 19011:2002;
3