ГОСТ Р ИСО/МЗК 27007 -2014
Продолжение таблицы А.1
ветствующие меры и средства контроля и управления информационной безопасностью
для повышения устойчтвости организации в отношении таких потерь.
Варианты обработш риска (перечисление
1)
т^нкта 4.2.1)
Аудитор должен проверить выбранные организацией варианты обработки риска.
Следует проверить, специфицирована ли для всех идентифицированных рисков соот
ветствующая «обработка» (т. е. снижение риска посредством применения соответству
ющих мер и средств контроля и управления, предотвращение риска, перенос риска на
третьи стороны или сознательное принятие рисков, если они подпадают под аппетит к
риску руководства). Аудитор должен искать расхождения и другие аномалии и прове
рять. были ли недавние изменения (например, новые системы ИТ или бизнес-процессы)
соответствующим образом включены в оценку риска и решения по обработке риска.
А.З Выбор целей контроля и мер и средств контроля и управления, утверждение предлагаемых
остаточных рисков, получение разрешения руководства и «Положение о применимости»
(ИСО/МЭК 27001, перечисления g)-j) пункта 4.2.1)
Критерии аудита
ИСОЛИЭК 27001. перечисления g)-j) пункта 4.2.1. Приложение А
Сопутствующие
стандарты
ИСОЛИЭК 27005, подразделы 9.1,9.2, раздел1 0
ИСО/МЭК 27006, пункт 9.1.2
Свидетельства
аудита
Свидетельства аудита включают.
- документированную методику оценки риска;
- отчеты об оценке риска;
- документы, описывающие степень снижения рисков принятыми мераш и средства
ми контроля и управления (результаты оценки риска);
- записи, указывающие на утверждение остаточных рисков руководством (в частно
сти, в случаях, когда остаточные риски выше уровня, определенного в критериях для
принятия рисков, в записи должно быть включено их обоснование);
- записи, демонстрирующие санкционирование руководством реализации и введения
в действия СМИБ;
- положение о применимости.
Практическое
руководство по
Выбор целей контроля и мер и средств контроля и управления (перечисление д)
пункта 4.2.1)
аудиту
Для соблюдения требований информационной безопасности, выведенных из оценки
риска, и применения вариантов обработки риска, выбранных для этих требований, ауди
тор должен проверить на соответствующей выборке, что меры и средства контроля и
управления выбраны и запланированные цели контроля достигнуты. Аудитор должен
проверить, что выбранные меры и средства контроля и управления и цели контроля со
ответствуют требованиям информационной безопасности с учётом требований кон
троля, определенных в приложении А ИСОЛИЭК 27001 (что касается интерпретации тре
бований контроля в приложении А, то хорошим справочным материалом могут быть
24