ГОСТ Р 56045—2014/ISO/IEC TR 27008:2011
ределяют конкретные элементы, подлежащие проверке, а также спецификации, механизмы, процес
сы и физических лиц.
В приложении А представлены примеры процедур проверки, предназначенные для проверки
технического соответствия и совершенствований мер и средств контроля и управления. Практическое
руководство в приложении А предназначено для сбора свидетельств с целью определения, правиль но
ли реализованы меры и средства контроля и управления, функционируют ли они, как предназна
чалось. и создают ли желаемый результат в отношении выполнения требований информационной
безопасности информационных активов. Для каждых включенных в проверку меры и средства кон
троля и управления и каждого средства, расширяющего их возможности, аудиторы, проводящие про
верку мер и средств контроля и управления информационной безопасностью, разрабатывают соот
ветствующую процедуру проверки, обращаясь к приложению А. Совокупность выбранных процедур
проверки различна для разных проверок и зависит от текущего назначения проверки (например, еже
годная проверка мер и средств контроля и управления, непрерывный мониторинг). В приложении А
представлено практическое руководство по выбору соответствующих процедур проверки в зависимо
сти от цели проверки.
Процедуры проверки могут быть специально приспособленными в отношении:
выбранных методов и объектов проверки, необходимых для наиболее эффективного при
нятия соответствующих решений и выполнения целей проверки;
выбранных значений атрибутов «глубины» и «охвата» метода проверки, необходимых для
осуществления ожиданий проверки, на основе характеристик проверяемых мер и средств контроля и
управления и конкретных, требующих принятия решений;
исключения из процедур проверки мер и средств контроля и управления, если они были
проверены при проведении другого адекватного процесса проверки;
развития информационной системы или конкретной платформы и адаптированных проце
дур проверки конкретной организации для успешного выполнения проверки;
использования результатов предыдущих проверок, если эти результатысочтены применимыми;
осуществления соответствующих корректировок процедур проверки, чтобы иметь возмож
ность получения требуемых свидетельств проверки от внешних поставщиков (если они имеются);
выбранных методов проверки, уделяя должное внимание их влиянию на организацию, на
ряду с обеспечением уверенности в выполнении целей аудита.
8.2.4 Особенности, относящиеся к объектам
Организации могут специфицировать, документировать и конфигурировать свои информацион
ные активы различными способами, следовательно, содержание и применение существующих свиде
тельств проверки будут различаться. Это может приводить к необходимости применения различных
методов проверки к разным объектам проверки, чтобы сформировать свидетельства проверки, необ
ходимые для определения, являются ли меры и средства контроля и управления эффективными при
их применении. Вследствие этого перечень методов и объектов проверки, представляемый вместе с
каждой процедурой проверки, называется потенциальным, чтобы отразить эту необходимость в воз
можности выбора наиболее уместных для конкретной проверки методов и объектов. К выбранным
методам и объектам проверки относятся те. которые сочтены необходимыми для создания необхо
димых свидетельств проверки. Потенциальные методы и объекты в процедуре проверки
предостав ляются как ресурс, содействующий выбору надлежащих методов и объектов, а не как
ограничитель выбора. По существу, аудиторы, проводящие проверку мер и средств контроля и
управления инфор мационной безопасностью, должны действовать по собственному усмотрению,
осуществляя выбор из потенциальных методов проверки и общего списка объектов проверки,
связанных с каждым выбран ным методом.
Аудиторы, проводящие проверку мер и средств контроля и управления информационной безо
пасностью. должны выбирать только те методы и объекты, которые наиболее эффективно способст
вуют принятию решений, связанных с целью проверки. Мера качества результатов проверки основа на
на правильности представленного логического обоснования, а не на конкретной совокупности
примененных методов и объектов. В большинстве случаев нет необходимости применять каждый ме
тод проверки к каждому объекту проверки, чтобы получить желаемые результаты проверки. А для
конкретных и всесторонних проверок может быть целесообразно использовать метод, не перечис
ленный в согласованном перечне потенциальных методов, или не использовать никакой из перечня
известных методов.
8.2.5 Предыдущие заключения
8.2.5.1 Обзор
Аудиторы, проводящие проверку моры и средства контроля и управления информационной
безопасностью, должны использовать имеющуюся информацию о предыдущих проверках меры и
средства контроля и управления, что будет способствовать большей эффективности проверок. По-
14