ГОСТ Р ИСО/МЭК27007 -2014
Продолжение таблицы А.1
лучшие практические приемы, описанные в ИСО/М ЭК27002 как руководства по реали
зации). Любые существенные отличия от требований приложения А в выборе мер и
средств контроля и управления (например, есть ли не принятые организацией цели кон
троля и меры и средства контроля и управления из приложения А, или есть ли дополни
тельные цели контроля и меры и средства контроля и управления, выбранные за рам
ками приложения А) должны быть идентифицированы и проверены на наличие логиче
ского обоснования. Кроме того, аудитор должен проверить, учитывались ли в процессе
выбора мер и средств контроля и управления общепринятые лучшие практические при
емы для соответствующей сферы бизнеса.
Следует проверить, что любые требования информационной безопасности, четко
предписанные политиками организации, отраслевыми предписаниями, законаш или до
говорами и т. д., надлежащим образом отражены в документально оформленных целях
контрол яи мерах и средствах контроля и упра вленияи что риски снижены до четких
критериев принятия рисков. Следутет подтвердить, что обработка рисков применяется
повторно, если остаточные риски не удовлетворяют критерию принятия рисков даже по
сле принятия мер и средств контрол я и управления.
Утверждение предполагаемых остаточных рисков (перечисление h) пункта 4.2.1)
Получение разрешения руководства (перечисление!) пункта 4.2.1)
Аудитор должен вкратце оценить остаточные риски информационной безопасности и
подтвердить, что организация получила одобрение руководства в отношении остаточ
ных рисков, которые остаются после выбора мер и средств контроля и управления для
обработки рисков. Следует проверить, что руководство провело формальное рассмот
рение и принятие остаточных рисков, что риски находятся в рамках определенно го аппе
тита организации к риску, что решения о принятии риска принимаются руководством в
форме распоряжения на достаточно авторитетном уровне и что в случаях, когда уровни
остаточных рисков не могут быть снижены ниже критериев принятия, руководство при
нимает решение об официальном принятии рисков и причины такого решения фиксиру
ются.
Кроме того, аудитор должен подтвердить, что руководство санкционировало реали
зацию и введение в действие СМИБ, например, посредством официального приказа,
утверждения проекта, письма с выражением поддержки от исполнительного директора и
т. д. Следует проверить, что это не простая формальность, а существуют свидетельства
того, что руководство действительно понимает и поддерживает СМИБ.
Положешео пршешыости (перечисление)) пункта 4.2.1)
Аудитор должен проверить «Положение о применимости» организации, в котором до
кументированы и обоснованы цели контроля и меры и средства контроля и управления,
как применяемые, так и непримен яеьые.Важно, чтобы «Положение о применимости»
демонстрировало связь между идентифицированными рисками и выбранными для их
снижения мерами и средствами контроля и управления. Также важно, чтобы были при-
25