ГОСТ Р ИСО/МЗК 27007 -2014
Продолжение таблицы А.1
ции;
- основные информационные активы;
- месторасположение организации и ее географические характеристики;
- ограничения, влияющие на организацию;
- ожидания заинтересованных сторон;
- социально-культурную среду;
- интерфейсы (например, информационный обмен со средой).
Следует проверить и подтвердить предоставление организацией обоснования для
любого исключения из области действия. Следует подтвердить наличие у организации
собственных служб и адглтнистрации, способных обеспечить уверенность в постоянном
действии СМ ИБ в течение всего жизненного цикла (подраздел 4.1 ИСО/МЭК 27001 и
подраздел 3.5 ИСО/МЭК 27006).
Дальнейшее руководство по аудиту области СМ ИБприведено в пункте 6.2.3 настоя
щего стандарта.
Политика СМИБ (перечнелете Ь) пункта 4.2.1)
Аудитор должен подтвердить, что политика СМИБ организации конкретным образом
описана с точки зрения характеристик бизнеса, организации, ее месторасположения,
активов и технологий. Аудитор должен также подтвердить, что политика СМ ИБчетко
идентифицирует
- структуру для установления целей СМИБ (исходную информацию и лотческое
обоснование для установления целей, а в случае описания политики СМИБ и политик
информационной безопасности в одном документе -цели), а также направление и
принципы действий с точки зрения руководства;
- необходимые требования бизнеса, правовые и договорные требования, а также
иные требования, важные для проверяемой организации;
- положение менеджмента риска информационной безопасности по отношению к об
щему менеджменту риска организации и их взаимодействие, включая CSR, внутреннее
управление, финансовый контроль и безопасность и т. д.;
- логическое обоснование для менеджмента рисков, например, какие основные акти
вы должны рассматриваться как важные с точки зрения защиты и какие аспекты инфор
мационной безопасности, т. е. конфиденциальность, целостность или доступность,
должны оцениваться наиболее серьезно при проведении оценки риска СМ ИБ;
- одобрение и ответственность высшего руководства.
Аудит политики СМИБмэ жет проводитьс япутем
- подтверждения того, что политика СМ ИБсоздана как документ, который включает
подписи или печати, указывающие, что политика утверждена высшим руководство^
- подтверждения посредством соответствующих документов, что процедуры создания
политики (например, способы санкционирования или проверки политики в организации)
и правила для этих процедур определены, правила документально оформлены и мето-
20