ГОСТ Р ИСО/МЗК 27007 -2014
Продолжение таблицы А.1
том, что меры и средства контроля и управления безопасности, которые определены в
плане обработки риска, политиках и т. д., действительно реализованы и действуют.
Аудитор должен также проверить относящиеся к СМИБ измерения и их использование
для стимулирования постоянного совершенствования СМИБ.
Следует также подтвердить, что подлежащие рассмотрению изменения (перечисле
ния d) 1)—6) пункта 4.2.3 в ИСО/М ЭК27001) отражены в процессах идентификации, ана
лиза, оценивания и обработки рисков. Кроме того, еледует подтвердить, что докумгнты
и записи СМИБ, связанные с оценкой риска, обновляются.
Аудитор должен проявить особое внимание к аудиту процессов мониторинга и про
верки СМИБ. Они будут сильно различаться в зависимости от вида и размеров органи
зации, мероприятия, которые должны быть продемонстрированы организацией, четко
изложены в ИСО/МЭК 27001.
Особый интерес для аудиторов представляет результат изменений, т. е. принимала
ли организация внутренние и (или) внешние изменения своих операций и оказывали ли
эти изменения влияние на СМИБ.
А.6 Поддержка и совершенствованиеСМ1Б (ИСО/МЭК 27001, пункт 4.2.4 и раздел 8)
Критерии аудита
ИСО/МЭК 27001. подраздел 4.1, пункт 4.2.4, раздел 8
Сопутствующие
ИСО/МЭК 27001, пункт4.2.4 и раздел 8
стандарты
Свидетельства
Свидетельства аудита включают.
аудита
- отчеты об идентифициро ванных уоовершенствованиях, исход яиз мероприятий,
определенных в ИСО/МЭК 27001, пункт 4.2.3;
- отчеты о несоответствиях;
- отчеты о корректирующихЛтревентивных мерах;
- отчеты о связанных с безопасностью событиях/йнцидентах безопасности;
- документально оформленные процедуры и меры и средства контроля и управления
в подтверждение СМИБ;
- записи о функционировании СМИБ;
- отчеты об оценке риска;
- процедуры для корректирую щих и превентивных мер;
- Положение о применимости
Практическое
Поддержка и совершенствование СМ1Б (ИСО/МЭК 27001, пункт 4.2.4)
руководство по
Идентифицированные улучшения, определенные в перечислении а) пункта 4.2.4
аудиту
ИСО/МЭК 27001, указывают на улучшения, которые были определены в ходе монито
ринга и анализа согласно пункту 4.2.3 ИСО/М ЭК27001. Аудитор должен проверить сред
ства и записи, посредством которых определяется потребность в совершенствовании
СМ ИБ, а также способ реализации улучшений. Аудитор должен также искать свидетель
ства в форме приказов руководства, протоколов совещаний, отчетов, электронных поч-
28