ГОСТ Р ИСО/МЭК27007 -2014
Продолжение таблицы А.1
альные улучшения, возникающие или проектируемые новые требования и т. д. Аудитор
должен искать свидетельства изменений СМ ИБ(таких как добавление, изменение или
устранение мер и средств контроля и управления информационной безопасностью) в
ответ на идентификацию существенно изменившихся рисков.
При аудите превентивных мер могут учпыватъся следующие моменты:
1) каким образом организация определяет потенциальные несоответствия и их при
чины. Типичные примеры включают
-идентификацию новых или изменившихся рисков посредством обновления
оценки риска (перечисление с!) пункта 4.2.3 и подраздел 8.3 ИСО/М ЭК27001);
-анализ тенденций для характеристик СМ ИБ. Ухудшающаяся тенденция может
указывать на то, что в случае непринятия мер может возникнуть несоответствие;
-сигналы оповещения для обеспечения раннего предупреждения о приближаю
щихся «неконтролируемых» операционных условиях;
-мониторингинцидентов и анализ тенденций инцидентов;
-оценивание несоответствий, произошедших в сходных обстоятельствах, но в
отношении других частей СМИБ или других частей организации, или даже других
организаций;
-процесс планирования, как для предсказуемых ситуаций (например, из-за рас
ширения, технического обслуживания или смены персонала), таки для непред
сказуемых ситуаций (например, изменения законодательства, природные про
блемы, такие как ураганы, землетрясения, наводнения и т. д.)
2) каким образом организация определяет, какая мера требуется и как эта мера реа
лизуется. Аудитор должен искать свидетельства того, что:
-организация проанализировала прич
1
ны потенциальных несоответствий (для
этого может быть уместным использование диа грамм причин и следствий и дру-
тх инструментальных средств информационной безопасности);
-требуемье меры применены во всех соответствующих частях организации и
своевременны;
-существуетчеткое определение обязанностей по определению, оцениванию,
реализации и про верке превентивных мер;
- в случае новых или изменившихся мер и средств контроля и управления осу
ществляется адекватное обучение;
3) аудитор должен подтвердить, что:
- ведутся соответствующие записи;
-записи являются истинным отражением результатов;
-контрользаписей осуществляется в соответствии с пунктом 4.3.3
ИСО/МЭК 27001:200 5;
4) дляпроверки принятых превенти вных мер аудитор должен рассмотреть:
- являлись ли меры эффективными (т. е. было ли предотвращено возникновение
31