ГОСТ Р ИСО/МЭК27007 -2014
Продолжение таблицы А.1
более детальной интерпретацией критериев принятия риска аудиторы могут обращаться
к подразделу 7.2 ИСОУМЭК 27005:2008».
А.2 Идентификация, анализ и оценивание риска, идентификация и оценивание вариантов обработки
рисю (ИСО/МЭК 27001 перечисления d)-f) пункта 4.2.1)
Критерии аудита
ИСО/МЭК27001, перечисления d), е), f) пункта 4.2.1
Сопутствующие
стандарты
ИСО/МЭК27005, подразделы 8.2, 8.3, разделы 9,10
Свидетельства
аудита
Свидетельства аудита включают.
- инвентарную опись акти вок
-документированную методику оценки риска;
-отчеты об оценке риска.
Практическое
Идентифжация риска (перечисление d) пупаа 4.2.1)
руководство по
аудиту
Аудитор должен проверить инвентарную опись активов, чтобы подтвердить, что все
соответствующие значимые активы, входящие в область действия СМИБ, включены в
инвентарную опись и для всех активов определены ответственные владельцы. Он дол
жен проверять идентификацию связанных с активами угроз, используемых угрозамм
уязвимостей и вызываемыхиш сбоев обеспечения безопасности, т. е. сценарии инци
дентов, указанные в ИСО/МЭК 27005.
Анализ и оцешвание риска (перечисление е) пункта 4.2.1)
Важно удостовериться, что при оценке риска рассматриваются все важные активы,
входящие в область действия СМИБ, и что оценка угроз/уязвимостей в отношении акти
вов адаптирована под организацию, а не просто использует стандартные списки угроз и
уязвимостей. Также важно отслеживать риски, которые по своей сути неправильно уста
новлены или значимость которых преуменьшена, например, если соответствующие ме
ры и средства контроля и управления являются дорогостоящими или трудно реализуе
мыми или если риски были неправильно поняты.
Аудитор должен на выборке подтвердить, что все значимые активы, перечюленные в
инвентарной описи активов, включены в оценку риска и проверить выборку сценариев
инцидентов с оцененным риском, чтобы дать оценку, отражают ли они соответствующим
образом потребности и влияния бизнеса.
Наличие компетентного персонала важно для хорошего функционирования СМИБ.
Аудитор должен оценить свидетельства того, что среднесрочные и долгосрочные риски,
связанные с утратой работоспособного персонала, адекватным образом оценены орга
низацией и пересмотрены с учетом последних корректировок и что реализованы ооот-
11Отменен. Действует ИСО/МЭК27005:2011. Для однозначного соблюдения требований настоящего
стандарта, выраженных в датированных ссылках, рекомендуется использовать только указанный ссылоч
ный стандарт.
23