ГОСТ Р ИСО/МЭК27007 -2014
Продолжение таблицы А.1
товых сообщений и т. д., документирующие потребность в улучшениях, разрешающие их
и приводящие к их реализации.
Аудиторы СМИБ должны искать документально подтверждённые свидетельства со
вершенствований политик, процедур, методов, мер и средств контроля и управления,
новых оценок риска, проверок и изменений политики информационной безопасности,
новых видов деятельности бизнеса, включая новые заинтересованные стороны под
держки (не только ИТ, но также возможностей и предполагаемого срока службы обору
дования), мероприятий по информированию и менеджменту инцидентов, изменений
процедур обработки и транспортировки информации, а также изменений соответствия
правовым, техническими связанным с безопасностью требованиям, касающимся внеш
них сторон.
Таким образом, при аудите следует также подтвердить, что процедуры и процессы
для реализации улучшений соответствуют требованиям, определенным в перечислени
ях b)-d) пункта 4.2.4 ИСО/МЭК 27001.
Совершенствовате СМ1Б (раздел 8)
Постоянное совершенствование (подраздел 8.1)
Аудитор должен проверить, каким образом организация определяет, возможно ли со
вершенствование СМИБ, как она оценивает взаимосвязанные риски, и как это связано с
идентифицированными требованиями безопасности и мониторингом функционирования
СМИБ.
Аудитор должен проверить, как общие цели организации переводятся через соответ
ствующие процессы во внутренние требования информационной безопасности, и каким
образом эти требования сообщаются и подвергаются мониторингу. Таким образом,
аудитор должен искать свидетельства того, что организация анализирует данные мони
торинга СМИБ и затем использует результаты для оценивания эффективности СМИБ и
совершенствования СМ ИБ в случае необходимости.
Аудитор должен подтвердить, что цели и приоритеты совершенствования согласуют
ся с целями СМИБ. Однако в случае, если организация не имеет политики и целей, свя
занных с постоянным совершенствованием, должен быть сделан вывод, что организа
ция явно не соблюдает стандарт.
Если руководство установило (реальную) цель совершенствования, а свидетельства
совершенствования отсутствуют, эта информация должна быть возвращена для прово
димой руководством проверки, чтобы руководство могло принять решение, какое дей
ствие является соответствующим-например, корректирование цели или предоставле
ние других средств для воздействия на процесс.
Если ор ганизация использует статистику качества функциониро вания (например,
снижение числа определенных инцидентов безопасности) для измерения совершен
ствования, аудитор должен тщательно оценить, действительно ли эта статистика связа
на с идентифицированным! рискам! или не был ли выбор основан только на простоте
29