ГОСТ Р 56045—2014/ISO/IEC TR 27008:2011
тор, проводящий проверку мер и средств контроля и управления информационной безопасностью,
часто играет активную роль в общем процессе обеспечения безопасности.
7.4.2.6 Инверсионный метод
Аудитор, проводящий проверку мер и средств контроля и управления информационной безо
пасностью, тестирует объект проверки, располагая полным знанием о его процессах и операционной
безопасности, однако объекту проверки ничего не сообщается о том. что. как или когда будет тести
ровать аудитор, проводящий проверку мер и средств контроля и управления информационной безо
пасностью. Основным свойством этого тестирования является проверка подготовленности объекта к
неизвестным параметрам и направлениям рассмотрения. Объем и глубина зависят от качества ин
формации. предоставленной аудитору, проводящему проверку мер и средств контроля и управления
информационной безопасностью, а также от надлежащих знаний и творческого подхода аудитора,
проводящего проверку мер и средств контроля и управления информационной безопасностью. Это
тестирование часто называют «ходом красных».
Сосбщомма дпя
о6ъс<та прсюорди
сбэдото
Знание аудитора об
объекта проверки
Рисунок 1- Виды тестирования
7.4.3 Расширенные процедуры проверки
Дополнительно с процедурами проверки, применяемыми к отдельным мерам и средствам кон
троля и управления, может применяться расширенная процедура проверки . Расширенная процедура
проверки предназначена для совместного использования с другими процедурами проверки. Она до
полняет их. что способствует обеспечению уверенности в эффективности мер и средств контроля и
управления.
Расширенная процедура проверки и соответствующие объекты проверки также тесно связаны с
уровнем риска информационной системы.
8 Деятельность
8.1 Подготовка
Установление и сохранение соответствующей совокупности ожидаемых результатов до. во вре
мя и после проверки имеет первостепенное значение для достижения приемлемого результата. Это
означает предоставление информации, позволяющей руководству принимать верные основанные
на риске решения о том, каким образом лучше всего реализовывать и эксплуатировать
информацион ные системы. Тщательная подготовка организации и аудиторов, осуществляющих
проверку мер и средств контроля и управления информационной безопасностью, является важным
аспектом прове дения эффективных проверок. В ходе подготовительной деятельности следует
рассматривать вопро сы. связанные с расходами, графиком, наличием необходимой
компетентности и проведением про верки.
С точки зрения организации подготовка к проверке включает следующие основные мероприятия:
обеспечение уверенности в том, что соответствующие политики, охватывающие проверки,
существуют и осознаны всеми структурными элементами организации:
обеспечение уверенности в том. что все запланированные шаги по реализации мер и
средств контроля и управления успешно выполнены до проверки и были соответствующим образом
проанализированы руководством (это применимо только в том случае, если мера и средства контро-
11