ГОСТ Р ИСО/МЭК27007 -2014
Продолжение таблицы А.1
Аудитор должен оценить меры и средства контроля и управления, защищающие зна
чимые записи СМИБ. такие как различные отчеты о проверках обеспечения информаци
онной безопасности и отчеты о результатах аудита, планы действий, формальные доку
менты СМИБ (включая их изменения), книги регистрации посетителей, формы предо-
ставленияЛтзменения прав доступа и т. д. Необходим» проверить адекватность мер и
средств контроля и управления для идентификации, хранения, защиты, восстановления,
времени хранения и уничтожения таких записей, особенно в ситуациях наличия право
вых, договорных и иных требований, важных для реализации СМИБ в соответствии с
требованиями ИСО/МЭК 27001 (например, защиты персональных данных).
А.8 Ответственность руководства (ИСО/МЭК 27001, раздел 5)
Критерии аудита
ИСО/МЭК27001, подраздел 5.1, пункты 5.2.1 и 5.2.2
Сопутствующие
ИСО/МЭК27006, перечисление i) подпункта 9.2.3.2.2
стандарты
ИСО/МЭК27001, перечисление Ь) 5) пункта 4.2.1, Приложение А.5.1.1, А.6.1.1
ИСО/МЭК17021, перечисление f) подпункта 9.2.3.2
ИСО/TvlЭК27006, перечисление f) подпункта 9.2.3.2.2
ИСО/МЭК27005, подраздел 9.2
Свидетельства
Свидетельства аудита включают.
аудита
-политику СМИБ с датой утверждения, подписями ит.д.;
- записи о проверках политики СМИБ;
-относящиеся к безопасности планы/графики для мероприятий СМИБ. например,
план обработки риска, программа/план обучения и подготовки, програмтиа/план внутрен
него аудита и т. д.;
-протоколы проверок, проводимых руководством, с входной/выходной документаци
ей, протоколы совещаний комиссии по информационной безопасности организации и
т.д.;
-документацию ролей и обязанностей;
- отчгто результатах внутреннего аудита;
-отчгтоб оценке рисков;
- опросы руководст ва;
-записи об утверждении остаточных рисков, утверждении плана обработки риска, за
писи проводимых руководством проверок, бюджетные решения по бизнес-плану и ре
зультаты утверждения запросов о решениях;
-записи о проверках мероприятий цикла Планирование-Осуществление-Проверка-
Действие и мер и средств контроля и управления;
-критерии компетентности;
-кадровую документацию и записи о компетентности;
-программы/планы подготовки;
- отчгт и запи си о подготовке.
33