ГОСТ Р 56045—2014/ISO/IEC TR 27008:2011
ля и управления отмечена как «полностью функционирующая», а не находится на этапе подготов-
ки/реализации);
обеспечение уверенности в том. что выбранные меры и средства контроля и управления
поручены соответствующим организационным единицам для разработки и реализации;
установление цели и области проверки (т. е. предназначения проверки и того, что будет
проверяться);
уведомление основных должностных лиц организации о предстоящей проверке и выделе
ние необходимых ресурсов для проведения проверки;
установление соответствующих каналов связи мехщу должностными лицами организации,
заинтересованными в проверке;
установление временных рамок для проведения проверки и основных контрольных точек при
нятия решений, необходимых организации для осуществления эффективного менеджмента проверки;
определение и выбор компетентного аудитора для проведения проверки мер и средств
контроля и управления информационной безопасностью или аудиторской группы, которые будут от
ветственными за проведение проверки, учитывая вопросы независимости аудитора, осуществляюще
го проверку мер и средств контроля и управления информационной безопасностью;
сбор артефактов для предоставления аудиторам, проводящим проверку мер и средств
контроля и управления информационной безопасностью (например, документации по мерам и сред
ствам контроля и управления информационной безопасностью, включая организационные схемы,
политики,процедуры, планы, спецификации, проекты, записи, руководства администрато-
ра/оператора, документацию информационной системы, соглашения о межсистемной связи, резуль
таты предыдущих проверок);
установление правил взаимодействия между организацией и аудиторами, проводящими
проверку мер и средств контроля и управления информационной безопасностью, позволяющих све
сти к минимуму неопределенности или неправильные представления о реализации мер и средств
контроля и управления или слабых местах/недостатках мер и средств контроля и управления, уста
новленных во время проверки.
В дополнение к мероприятиям по планированию, осуществляемым организацией для подготов
ки к проверке, аудиторы, проводящие проверку мер и средств контроля и управления информацион
ной безопасностью, должны начинать подготовку к проверке посредством:
достижения общего понимания функционирования организации (включая целевую задачу,
функции и процессы бизнеса), а также того, каким образом информационные активы, попадающие в
область проверки, поддерживают функционирование организации;
достижения понимания структуры информационных активов (например, архитектуры сис
темы);
достижения полного понимания всех мер и средств контроля и управления, подлежащих
проверке;
изучения важных публикаций, на которые ссылаются в мерах и средствах контроля и
управления;
определения организационных единиц, ответственных за разработку и реализацию под
лежащих проверке мер и средств контроля и управления, которые поддерживают информационную
безопасность;
установления соответствующих контактных лиц в организации, необходимых для прове
дения проверки.
получения артефактов, необходимых для проверки (например, политик, процедур, планов,
спецификаций, проектов, записей, руководств администратораФператора, документации информаци
онной системы, соглашений о межсистемной связи);
получения результатов предыдущих проверок, которые могут быть надлежащим образом
повторно использованы для проверки (например, отчетов, обзоров, исследований уязвимостей, про
верок физической безопасности, тестирования и оценки развития);
встречи с соответствующими должностными лицами организации для обеспечения уве
ренности в общем понимании целей проверки, предлагаемой строгости и области проверки;
разработки плана проверки.
При подготовке к проверке мер и средств контроля и управления информационной безопасно
стью должна быть собрана необходимая исходная информация, которая должна быть предоставлена
аудиторам, осуществляющим проверку мер и средств контроля и управления информационной безо
пасностью. В рамках необходимой поддержки конкретной проверки организация должна определить и
подготовить доступ к элементам организации (лицам или группам лиц), отвечающим за разработку,
документирование, распространение, проверку, эксплуатацию, поддержку и обновление всех мер и
средств контроля и управления безопасностью, политик безопасности и взаимосвязанных процедур
12