ГОСТ Р ИСО/МЭК27007 -2014
Продолжение таблицы А.1
возможность проверки, действительно ли меры и средства контроля и управления сни
жают риски или влияния инцидентов (ИСО/М ЭК27005, подпункт 8.2.1.4).
При проверке измерений, относящихся к СМИБ, следует обратить внимание на то,
что измерения могут выполняться рядом способов, некоторые из которых более слож
ные, чем другие. Аудитору нужно сознавать, что несмотря на доступность руководства
по измерениям, относящимся к СМ ИБ, требования ИСО/М ЭК27001 будут удовлетво
ряться. пока критерии получения сопоставимых и воспроизводимых результатов оценки
эффективности контроля определены и одобрены руководством. Также важно обеспе
чить уверенность в том, что измерения, относящиеся к СМИБ, соответствуют требова
ниям бизнеса организации с учетом результатов процессов оценки и обработки риска.
Эффективные измерения убеждают, что контроль фактически снижает соответственные
риски.
При проверке функционирования СМИБ аудитор должен оценивать, как организация
обеспечивает уверенность в эффективности мер и средств контроля и управления. С
этой целью аудитор должен оценить степень и достаточность относящихся к СМ ИБ из
мерений .
А.5 Мониторинг и пересмотр СМИБ (ИСО/МЭК 27001, пункт 4.2.3)
Критерии аудита
ИСО/МЭК27001, пункт 4.2.3
Сопутствующие
стандарты
ИСО/МЭК27005. подразделы 12.1,12.2
Свидетельства
аудита
Свидетельства аудита включают.
-отчеты о связанных с безопасностью событиях/йнцидентах безопасности;
-документацию проводимых руководством проверок (входная и выходная);
-описание (процедуры) измерения эффективности мер и средств контроля и управ
ления и записи об измерении и оценке мер и средств контроля и управления;
-записи об использовании измерений (включая мэры по усилению мер и средств кон
троля и управления, записи о корректирующих и превентивных мерах, а также план об
работки риска);
-документы, содержащие информацию об информационных активах, анализе и
оценке риска, план обработки риска и положение о применимости;
-ежегодный план по обеспечению информационной безопасности.
Практическое
руководство по
аудиту
Аудитор должен проверить процессы мониторинга и проверки СМИБ. используя такие
свидетельства, как планы, протоколы совещаний по проверкам, отчеты о результатах
проводимых руководством проверок/внутренних аудитов СМИБ, отчеты о нарушени-
ях/йнцидентах и т. д. Аудитор должен оценить, в какой степени обеспечено обнаруже
ние, оповещение и раосмэтрение ошибок обработки, нарушений безопасности или дру
гих инцидентов. Важно определить, осуществляет ли (и каким образом) организация
эффективную и активную проверку реализации СМ ИБ, чтобы обеспечить уверенность в
27