ГОСТ Р 56045—2014/ISO/IEC TR 27008:2011
объектам проверки в рамках конкретной области применения мер и средств контроля и управления
информационной безопасностью.
Чтобы сэкономить время, уменьшить расходы на проверку и максимально увеличить полезность
результатов проверки, аудиторы, проводящие проверку меры и средства контроля и управления ин
формационной безопасностью, должны рассмотреть выбранные процедуры проверки для областей
применения меры и средства контроля и управления и там. где это возможно и осуществимо, ском
бинировать или объединить процедуры (или части процедур).
Например, аудиторы, проводящие проверку мер и средств контроля и управления информаци
онной безопасностью, могут захотеть объединить опросы ключевых должностных лиц организации по
различным темам, имеющим отношение к информационной безопасности. Аудиторы, проводящие
проверку мер и средств контроля и управления информационной безопасностью, могут воспользо
ваться другой возможностью существенного объединения процедур и экономии расходов путем од
новременного изучения всех применяемых политик и процедур, касающихся обеспечения безопасно
сти. или формирования групп взаимосвязанных политик и процедур, которые можно изучать как еди
ный элемент. Получение и изучение параметров конфигурации сходных аппаратных и программных
компонентов в соответствующих информационных системах является еще одним примером того, что
можно обеспечить существенную эффективность проверки.
Дополнительной сферой, заслуживающей внимания при оптимизации процесса проверки, явля
ется последовательность, в которой осуществляется проверка мер и средств контроля и управления.
Проверка некоторых мер и средств контроля и управления раньше других может предоставить ин
формацию. облегчающую понимание и проверку других мер и средств контроля и управления. На
пример. сферы применения мер и средств контроля и управления могут создавать общие описания
информационных активов. Проверка этих мер и средств контроля и управления безопасностью в на
чале процесса проверки может обеспечить базовое понимание информационных активов, которое
может помочь при проверке других мер и средств контроля и управления безопасностью. Дополни
тельные рекомендации по многим мерам и средствам контроля и управления также определяют
взаимосвязанные меры и средства контроля и управления, которые могут предоставить полезную
информацию для организации процедур проверки. Другими словами, последовательность осуществ
ления проверки может способствовать многократному использованию информации проверки одной
меры и средства контроля и управления при проверке других взаимосвязанных мер и средств кон
троля и управления.
8.2.11 Итоговое оформление
После выбора процедур проверки (включая разработку необходимых процедур, не включенных
в данный документ), адаптации процедур к конкретным информационным активам и к характерным
условиям организации, оптимизации процедур для обеспечения эффективности, применения в необ
ходимых случаях расширенной процедуры проверки и рассмотрения возможности влияния неожи
данных событий на проверку, плану проверки придается окончательная форма и устанавливаются
сроки выполнения с включением основных контрольных точек процесса проверки.
После того как план проверки сформирован, он рассматривается и утверждается соответст
вующими должностными лицами организации для обеспечения уверенности в полноте плана, согла
совании с целями безопасности организации и проверке риска организации, а также экономической
эффективности в отношении выделенных для проверки ресурсов. Если в течение проверки возможно
прерывание обычного функционирования организации (например, в результате отвлечения ключево го
персонала или возможных (временных) сбоев систем из-за тестирования на проникновение), в плане
проверки должен подчеркиваться масштаб такого прерывания и его временные рамки.
8.3 Проведение проверок
После утверждения организацией плана проверки аудитор, проводящий проверку мер и средств
контроля и управления информационной безопасностью, работает по нему в соответствии с согласо
ванными контрольными точками и сроками.
Цели проверки достигаются путем применения назначенных методов проверки к выбранным
объектам проверки и сбора/создания информации, необходимой для принятия решений, связанных с
каждой целью проверки. Каждая формулировка решения относительно процедуры проверки, которую
выполнил аудитор, проводящий проверку мер и средств контроля и управления информационной
безопасностью, представляет собой один из следующих выводов:
выполняется (В):
частично выполняется (Ч);
не выполняется (Н).
Вывод «выполняется» означает, что для части меры и средства контроля и управления, к кото
рой относится формулировка решения, полученная информация проверки (т. е. собранные свиде
тельства) указывает на то. что цель проверки для меры и средства контроля и управления
выполнена
17