ГОСТ Р 56045—2014/ISO/IEC TR 27008:2011
Объекты проверки обычно включают в себя:
спецификации1’ (например, политики, планы, процедуры, требования к системам, проекты);
механизмы (например, функциональные возможности, реализуемые аппаратным, про
граммным. программно-аппаратным способом);
процессы (например, операции, администрирование, менеджмент, испытания систем).
К типичным действиям аудитора, проводящего проверку мер и средств контроля и управления
информационной безопасностью, можно отнести:
проверку политик, планов и процедур обеспечения информационной безопасности;
анализ проектной документации систем и спецификаций интерфейсов;
наблюдение за операциями резервного копирования систем и проверка результатов уче
ний. проводимых в соответствии с планом действий в чрезвычайных ситуациях;
наблюдение за процессом реагирования на инциденты;
изучение технических инструкций и руководств пользователя/администратора;
проверка, изучение или наблюдение за функционированием механизма ИТ в аппаратных
средствах/программном обеспечении информационной системы;
проверка, изучение или наблюдение за деятельностью по менеджменту изменений и реги
страции. связанной с информационной системой;
проверка, изучение или наблюдение за мерами физической защиты, связанными с функ
ционированием информационной системы.
7.2.2 Атрибуты
7.2.2.1 Общее изучение
Общее изучение обычно состоит из высокоуровневых проверок, рассмотрений, наблюдений или
обследований объекта проверки. Этот вид изучения проводится с использованием ограниченной со
вокупности свидетельств или документации (например, описания функционального уровня механиз
мов; описания высокоуровневого процесса для процессов; фактическая документация для специфи
каций). Общее изучение обеспечивает уровень понимания мер и средств контроля и управления, не
обходимый для определения, реализованы ли мера и средство контроля и управления и нет ли в них
очевидных ошибок.
7.22.2 Целевое изучение
Целевое изучение обычно состоит из высокоуровневых проверок, рассмотрений, наблюдений
или обследований и более углубленного изученияУанализа объекта проверки. Этот вид изучения про
водится с использованием значительной совокупности свидетельств или документации (например,
описания функционального уровня и, где это необходимо и доступно, высокоуровневая проектная
информация для механизмов; высокоуровневое описание процессов и процедуры реализации для
процессов; фактическая документация и взаимосвязанные документы для спецификаций). Целевое
изучение обеспечивает уровень понимания меры и средства контроля и управления безопасностью,
необходимый для определения, реализованы ли мера и средство контроля и управления и нет ли в
них очевидных ошибок. Оно также дает большее основание для уверенности в том. что мера и сред
ство контроля и управления реализованы правильно и функционируют, как предназначалось.
7.2.2.3 Детальное изучение
Детальное изучение обычно состоит из высокоуровневых проверок, рассмотрений, наблюдений
или обследований и более углубленного, всестороннего и тщательного изучения/анализа объекта
проверки. Этот вид изучения проводится с использованием обширной совокупности свидетельств или
документации (например, описания функционального уровня и. где это необходимо и доступно, высо
коуровневая проектная информация, низкоуровневая проектная информация и информация по реа
лизации для механизмов, высокоуровневые описания процессов и детальные процедуры реализации
для процессов; а также фактическая документация и взаимосвязанные документы для
специфика ций). Детальное изучение обеспечивает уровень понимания меры и средства контроля и
управления, необходимый для определения, реализованы ли мера и средство контроля и
управления и нет ли в них очевидных ошибок, существует ли возросшее основание для уверенности
в том. что мера и сред ство контроля и управления реализованы правильно и функционируют, как
предназначалось, на по стоянной и непротиворечивой основе, и что обеспечивается поддержка
постоянного совершенство вания эффективности меры и средства контроля и управления.
7.2.24 Репрезентативное изучение
Репрезентативное (выборочное) изучение использует характерную выборку объектов проверки
(по виду и числу в пределах вида) для обеспечения уровня охвата, необходимого для определения,
реализованы ли мера и средство контроля и управления и нет ли в них очевидных ошибок.
" Спецификация - дсжумвнт. устанавливающий требования (см. ГОСТ ИСО 9000-2011, пункт 3.7.3)
7