ГОСТ Р 56045—2014/ISO/IEC TR 27008:2011
прагматизмом в отношении практических ограничений проверок, как информационной
безопасности, так и информационной технологии.
Настоятельно рекомендуется, чтобы лица, перед которыми ставится задача проведения про
верки мер и средств контроля и управления информационной безопасностью, но которые не имеют
аудиторского опыта, были официально ознакомлены с основами профессии аудитора: этические
нормы (независимость, объективность, конфиденциальность, ответственность, осмотрительность),
получение полномочий для доступа к записям, функциям, имуществу, персоналу, информации с по
следующими обязательствами относительно надлежащего обращения и защиты полученных данных,
элементов выводов и рекомендаций, а также процессов контроля исполнения.
Для достижения цели проверки может быть создана группа проверки, состоящая из аудиторов,
осуществляющих проверку мер и средств контроля и управления информационной безопасностью, и
различных специалистов с соответствующей компетентностью. В случаях, когда специалистов с та
кими навыками или компетентностью в непосредственном распоряжении организации нет. должны
быть рассмотрены риски и выгоды от привлечения специалистов к данной предметной области, вы
бираемых либо из собственных, либо из внешних ресурсов, для выполнения проверки в необходимом
объеме.
Аудиторы, проводящие проверку мер и средств контроля и управления информационной безо
пасностью. должны также подтвердить, что служба и персонал, отвечающие за обеспечение инфор
мационной безопасности, присутствуют, являются достаточно квалифицированными в области ин
формационной безопасности и своих конкретных целевых задач и имеют в своем распоряжении не
обходимые ресурсы.
В рамках программы организации по противодействию мошенничеству аудиторам, проводящим
проверку мер и средств контроля и управления информационной безопасностью, необходимо рабо
тать в тесном сотрудничестве с финансовыми аудиторами на каждом из этапов: планирование ауди та.
проведение аудита и анализ результатов аудита.
7 Методы проверок
7.1 Обзор
Основу концепции проверки мер и средств контроля и управления обычно составляют процеду
ры проверки, отчетность по проверке и контроль исполнения. Структура и содержание процедур про
верки учитывают цели и методы проверки.
Аудиторы, проводя проверку мер и средств контроля и управления информационной безопасно
стью. могут использовать три метода проверки:
изучение;
опрос;
-тестирование.
В соответствующих разделах содержится набор атрибутов и значения атрибута для каждого ме
тода проверки. Для атрибута «глубина» значение целевого атрибута основывается на строгости и
уровне детальности проверки, определенных для значения общего атрибута. Значение детального
атрибута основывается на строгости и уровне детальности проверки, определенных для значения
целевого атрибута. Для атрибута «охват» значоние специального атрибута основывается на числе и
виде объектов проверки, определенных для значения репрезентативного атрибута. Значение всесто
роннего атрибута основывается на числе и виде объектов проверки, определенных для значения
специального атрибута.
Методы «Изучение» и «Тестирование» могут поддерживаться при помощи применения широко
признанных автоматизированных инструментальных средств. Аудиторы, проводящие проверку мер и
средств контроля и управления информационной безопасностью, должны рассматривать влияние
действия этих инструментальных средств на обычное функционирование объекта проверки. Если
часть проверки основана на таком инструментальном средстве, то аудиторы, проводящие проверку
мер и средств контроля и управления информационной безопасностью, должны продемонстрировать
или предоставить свидетельства того, что это инструментальное средство обеспечивает надежные
результаты.
7.2 Метод проверки: изучение
7.2.1 Общая информация
Изучение - процесс сверки, обследования, проверки, наблюдения, исследования или анализа
одного или нескольких объектов проверки с целью облегчения понимания и достижения ясности или
получения свидетельств, результаты которых используются для поддержки решения о существова
нии, функциональных возможностях, правильности и полноте мер и средств контроля и управления, а
также возможности их совершенствования с течением времени.
6