ГОСТ Р ИСО/МЭК27007 -2014
Продолжение таблицы А.1
ды контроля документации специфицированы;
-бесед с руководством, чтобы понять его подход и ответственность в организации
СМИБ;
-оценивания, посредством изучения протоколов и записей по результатам проводи
мых руководством проверок, участия и заинтересованности руководства в реализации,
поддержке и совершенствовании политики СМИБ;
-оценки эффективности доведения руководством политики СМ ИБ, нагример, сосре
дотачивая ее на конкретной аудитории, на всех уровнях организации;
-проведение бесед с персоналом, находящимся в области действия СМИБ, чтобы
проверить осознание им важности выполнения целей информационной безопасности,
соблюдения политики информационной безопасности и своих обязанностей, связанных
с информационной безопасностью;
-рассмотрение политики информационной безопасности (если это возможно) и ее
связи с политикой СМИБ.
Аудит целей СМИБ может проводиться путем подтверждения того, что:
-цели СМИБ организации определены, отражены в политике СМ ИБ и согласованы с
общиш целяш бизнеса;
-меры и средства контроля и управления и процессы СМИБ идентифицированы и
документально оформлены в соответствии с целями СМИБ;
-цели документированы в достаточной мере;
-цели СМИБ соответствующим образом доведены до всех уровней организации;
- в организации определены лица, ответственные за ресурсы, необходимые для до
стижения целей.
Рекомендуется, чтобы аудитор изучал документально оформленную политику и цели
СМИБ на этапе аудита, посвященном проверке документации.
Политика и цели СМ ИБ должны пересматриваться и обновляться в соответствии с
изменениям! контекста менеджмента риска. Аудитор должен подтвердить проведение
постоянного совершенствования по отношению к контексту среды бизнеса.
Аудитор должен иметь в виду, что соответствие политике СМИБ и выполнение целей
может измеряться количественным или качественным образом.
Подход к оценке риска (перечисление с) пункта 4.2.1)
ИСО/М ЭК27001 требует от организаций определения подхода к оценке риска, в пе
речне лениflxd)-f)пункта 4.2.1 определены элементы этого подхода. В ИСОЛ/1 ЭК27001
не указан какой-то определенный подход к оценке риска, в нем просто отмечается, что
любой подход является приемлеглим, пока он отвечает его требованиям.
Аудитор должен проверить, что подход к оценке риска соответствует требованиям к
оценке риска, приведенным в ИСО/МЭК 27001, подходит для организации и соответ
ствует существующем/ общему подходу к менеджменту риска.
Необходимо подтвердить, что подход к оценке риска реализован с целью идентифи-
21