ГОСТ Р ИСО/МЗК 27007 -2014
Продолжение таблицы А.1
Практическое
руководство по
аудиту
Обязательства руководства (подраздел 5.1)
Аудитор должен проверить степень ответственности руководства по обеспечению ин
формационной безопасности, используя такие свидетельства, как
- официальное утверждение руководством политики СМИБ;
- утверждение руководством целей и планов реализации СМИБ вместе с выделением
достаточных ресурсов и установлением соответствующих приоритетов для связанной с
ней деятельности (см. также пункт 5.2.1);
- четкие роли и обязанности по обеспечению информационной безопасности, вклю
чая процесс назначения и принятия ответственности за надлежащую защиту ценных
информационных активов;
- приказы руководства, электронные почтовые сообщения, протоколы собраний, пре
зентации, информационные совещания, перечни служебных обязанностей и т. д., выра
жающие поддержку СМ ИБи ответственность за неё;
- относящиеся к рискам информационной безопасности критерии принятия риска и их
официальное принятое, аппетит к риску и т. д.;
- определение области, обеспечение ресурсамт и инициирование внутренних ауди
тов и проводимых руководством проверок СМИБ.
Распределение ресурсов для СГЛ1Б (пункт 5.2.1)
Аудитор должен проверить, что осуществляется адекватный менеджмент ресурсов,
необходимых для реализации, поддержки и совершенствования СМИБ. Это означает,
что организация должна идентифицировать, планировать, предоставлять, использовать,
контролировать и изменять соответствующие ресурсы, если это требуется.
Рекомендуется не проверять менеджмент ресурсов автономно. Независимо от спо
соба структурирования организации и идентификации ею своих процессов аудиторы
должны быть способны проверить адекватность и эффективность менеджмента ресур
сов для достижения запланированных результатов. Аудиторам важно проверить, оцени
вала ли организация свое прошлое и текущее функционирование (например, используя
анализ затрат и выгод, оценку риска) при решении вопроса о том, какие ресурсы должны
выделяться.
Менеджмент ресурсов может оцениваться путем опроса руководства и другого ответ
ственного персонала, чтобы проверить наличие соответствующих процессов. Однако это
должно подкрепляться собранными во время аудита объективными свидетельствами.
Свидетельства могут быть получены на различных этапах аудита - анализ затрат, про
цесс функционирования и результаты. Это следует выполнять при аудите всех процес
сов, связанных с ними систем и документации процессов, а именно:
- ответственности и обязанностей руководства;
- процесса проводимой руководством проверки;
- процессов СМИБ, включая менеджмент риска, корректирующие и превентивные ме
ры и постоянное совершенствование;
34