ГОСТ Р ИСО/МЗК 27007 -2014
Продолжение таблицы А.1
ведены обоснования для мер и средств контроля и управления, идентифицированных
как неприменяемые. Аудитор должен подтвердить, что для всех перечисленных в при
ложении А ИСО/МЭК27001 целей контроля и мер и средств контрол яи управления су
ществуют соответствую щие записи. «Положение о применимости» также должно вклю
чать существующие мэры и средства контроля и управления. Необходимо, чтобы «По
ложение о применимости» проверялось и утвержд алось/санкционпровал ось руководи
телями соответствующего уровня с записями об истории создания, утверждения, пере
смотра, обновления и т. д. вкачестве свидетельств.
А.4 Реализация и фунщиошрование СМ1Б (ИСО/МЭК 27001, пункт 4.2.2)
Критерии аудита
ИСО/МЭК 27001, пункт 4.2.2
Сопутствующие
ИСО/МЭК 27001, приложение А
стандарты
ИСО/МЭК 27002
ИСО/МЭК 27005, подпункт 8.2.1.4, подраздел 9.1
Свидетельства
Свидетельства аудита включают
аудита
- план обработки риска и записи о продвижении проектов плана;
- документально оформленные процедуры и записи для измерения эффективности
контроля.
Практическое
Аудитор должен подтвердить, что организация сформулировала и реализовала план
руководство по
обработки риска с идентифицированным! вариантами обработки риска. Важно подтвер-
аудиту
дить, что:
- план обработки риска реализован с учетом приоритетов и обязанностей, как было
определено;
- для поддержки функционирования СМИБ выделены адекватные ресурсы (см. также
А.9);
- приоритеты и сроки реализации соответствующей обработки риска четко определе
ны;
- определены фонды, роли и обязанности для обработки риска;
- план обработки риска используется и упреждающим образом обновляется как ин
струментальное средство менеджмента информационной безопасности.
Аудитор должен проверить реализацию и функционирование СМ ИБотносительно до
кументально оформленных требований СМИБ, производя выборку мер и средств кон
троля и управления (см. перечисление д) пункта 4.2.1 и приложение А ИСО/МЭК 27001)
на предмет их реализации и функционирования. Необходимо искать свидетельства,
подтверждающие или опровергающие взаимосвязь между документированным! рискам!
и планируемыми и реализованными мерами и средствам! контроля и управления.
Аудитор должен подтвердить, что цель и способ измерения эффективности выбран
ных мер и средств контрол яи управления четко определены.
В методе измерения эффективности мер и средств контроля и управления важна
26