ГОСТ Р ИСО/МЗК 27007 -2014
Продолжение таблицы А.1
несоответствия и были ли какие-либо дополнительные выгоды);
- существует ли потребность продолжать превентивные меры без их изменений;
- следует ли изменить превентивные мэры или есть ли необходимость планиро
вания новых мер.
А.7 Документация СМИБ (ИСО/МЭК 27001, подраздел 4.3)
Критерии аудита
ИСО/МЭК 27001, пункты 4.3.1-4.3.3
Сопутствую щие
стандарты
Свидетельства
аудита
Свидетельства аудита включают.
- документацию СМ ИБ, указанную в ИСО/МЭК 27001, перечисления a)-i) пункта 4.3.1
Практическое
Требования кдокументации (подраздел 4.3)
руководство по
Документация СМ1Б (пункт 4.3.1)
аудиту
Важно идентифицировать требования документирования, специфицированные в
СМ ИБ. Аудитор должен рассмотреть требования пункта 4.3.1 ИСО/МЭК 27001 и не
сколько положений, указанных в его разделах 5-8 в дополнение к приложению А по мэ
рам и средствам контроля и управления, а также требования, указанные в документации
СМ ИБ организацией.
Аудитор должен запросить и получить информацию о функциональных процессах
проверяемой организации, провести опрос персонала всех уровней (включая админи
стративный персонал, владельцев процессов и операторов)и проследить за их дея
тельностью и поведением, а также за выполнением процессов, чтобы подтвердить, что
реализация и функционирование СМИБ на месте соответствуют документально оформ
ленным и специфицированным требованиям.
Необходимость любой документации должна оцениваться в свете наблюдаемой по
требности в согласованности, важности содержащейся в ней информации и роли, кото
рую может играть любая документация в предотвращении любых значимых идентифи
цированных рисков.
Контроль ?документации СМИБ (гункт 4.3.2)
Аудитор должен проверить наличие и соблюдение документально оформленной про
цедуры управления обновлениями документации, политик, процедур, записей СМИБ и
т. д. Аудитор должен также определить, осуществляется ли формальное управление
изменениями документации СМ ИБ. Например, изменения просмэтриваются и заранее
утверждаются руководством, а также распространяются среди всех пользователей до
кументации СМИБ, например, путем обновления определенной справочтой совокупно
сти материалов, поддерживаемых во внутрикорпоративной сети, и (или) явного уведом
ления всех соответствующих пользователей.
Записи СМИБ (пункт 4.3.3)
32