ГОСТ Р ИСО/МЭК 27006—2008
h) знание анализа эффективности СМИБ и измерения эффективности средств контроля.
Эти требования к обучению применяются ко всем членам аудиторской группы, за исключением
требований пункта (d), которые можно распределить между членами аудиторской группы.
7.2.1.1.1 При выборе аудиторской группы, которая будет назначена для конкретного сертифика
ционного аудита, орган сертификации должен обеспечить, чтобы члены группы обладали соответству
ющими необходимыми навыками для каждого задания. Группа должна:
a) обладать соответствующими техническими знаниями о конкретных действиях в рамках облас
ти применения СМИБ. для которой проводится сертификация, и. если необходимо, со взаимосвязанны
ми процедурами и их потенциальными рисками информационной безопасности (эту функцию могут
выполнять технические эксперты, не являющиеся аудиторами);
b
) обладатьдостаточным уровнем знания работы организации-клиентадля проведения надежно
го сертификационного аудита ее СМИБ в части менеджмента аспектов, связанных с информационной
безопасностью ее деятельности, продуктов и услуг;
c) обладать соответствующим знанием нормативных требований к СМИБ организации-клиента.
7.2.1.1.2 При необходимости аудиторская группа может дополняться техническими экспертами, ко
торые должны обладать специальными знаниями в области технологии, подлежащей аудиту. Необходи
мо отметить, что технических экспертов нельзя использовать вместо аудиторов СМИБ. но они могут
консультировать аудиторов по вопросам технической адекватности в контексте системы менеджмента,
подвергающейся аудиту. Органы сертификации должны осуществлять процедуры по следующим вопро
сам:
a) выбор аудиторов и технических экспертов на основе их компетентности, обучения, квалифика
ции и опыта:
b
) первоначальная оценка поведения аудиторов и технических экспертов во время проведения
сертификационного аудита и последующий мониторинг деятельности аудиторов и технических экспер
тов.
7.2.1.2 Управление процессом принятия решений
Руководство должно быть технически грамотным испособным управлять процессом принятия ре
шений относительно разрешения, поддержки, продления, сокращения, приостановки и отмены серти
фикации СМИБ по требованиям ИСО/МЭК 27001.
7.2.1.3 Необходимые уровни образования, профессионального опыта, аудиторского
обучения и аудиторского опыта аудиторов, проводящих аудиты системы менеджмента инфор
мационной безопасности
7.2.1.3.1 Приведенные ниже критерии должны применяться к каждому аудитору из аудиторской
группы, осуществляющей аудит СМИБ. Аудитор должен:
a) иметь образование не ниже среднего:
b
) иметь опыт практической работы в режиме полной занятости в области информационных тех
нологий не менеечетырехлет. из которых он неменеедвух летдолжен был заниматьсядеятельностью,
связанной с информационной безопасностью;
c) успешно завершить обучение продолжительностью не менее пяти дней, программа которого
включает вопросы аудита СМИБ и менеджмента аудита;
d) приобрести опыт, касающийся всего процесса оценки информационной безопасности, до при
нятия на себя ответственности за деятельность в качестве аудитора. Этот опыт должен быть приобре
тен посредством участия, как минимум, в четырех аудитах сертификации общей продолжительностью,
по крайней мере, двадцать дней, включая проверкудокументации и анализ риска, оценку реализации и
составление отчета о результатах аудита:
e) обладать достаточным современным опытом:
f) уметь рассматривать сложные операции в широкой перспективе и понимать роль отдельных
подразделений в крупных организациях-клиентах;
д) поддерживать свои знания и навыки в сфере информационной безопасности и аудита на со
временном уровне путем постоянного повышения профессионального уровня.
Технические эксперты должны соответствовать критериям пунктов а), Ь), е) и f).
7.2.1.3.2 В дополнение к требованиям из пункта 7.2.1.3.1 начальники аудиторских групп должны
удовлетворять следующим требованиям, которые должны быть представлены в ходе аудитов, прове
денных под их руководством и наблюдением:
4