ГОСТ Р ИСО/МЭК27007 -2014
Продолжение таблицы А.1
-перечней служебных обязанностей;
-бюджетных записей и записей о времени для конкретных мероприятий СМ ИБ.
Аудиторы должны избегать вынесения субъективных решений о достаточности выде
ленных организацией ресурсов и ограничивать свою роль оценкой эффективности про
цесса менеджмента ресурсов.
Информированием обучете, относящиеся кСМ1Б (пункт 5.2.2)
Аудитор должен проверить подготовку лиц, фактически участвующих в работе СМИБ.
и общие мероприятия информирования об информационной безопасности, предназна
ченные для всех сотрудников. Следует проверить, установлена ли явным образом необ
ходимая компетентность и требования обучения/йнформтрованности для специалистов
в сфере информационной безопасности и других лиц с конкретныш ролями и обязанно-
стямт и поддерживаются ли потребности информирования и обучения, относящиеся к
информационной безопасности, достаточными средствами из бюджета. Аудитор должен
проверить отчеты об оценке обучения и прочее и найти свидетельства, подтверждаю
щие, что любые необходимые меры совершенствования принимаются фактически.
Необходимо выборочно проверить, отмечено ли в кадровых записях сотрудников свя
занное оо СМИБ обучение и т. д. (где это возможно). Аудитор должен оценить общий
уровень информированности об информационной безопасности посредством опро-
сов/выборки или проверки результатов опросов/выборки, производимых в рамках СМИБ.
Для удовлетворения требованиям компетентности/эффективности ИСО/М ЭК27001
организации обычно нужно выполнить следующее:
-определить уровень компетентности, которым должен обладать персонал, выпол
няющий работу, которая влияет на информационную безопасность;
-определить, какой персонал, уже выполняющий работу, обладает требуемой компе
тентностью;
-решить, какая дополнительная компетентность требуется;
-решить, как эта дополнительная компетентность должна достигаться-обучение
персонала (внутреннее или внешнее), теоретическая или практическая подготовка, наем
нового компетентного персонала, поручение существующему компетентному персоналу
другой работь<
-проверить эффективность действий, предпринимаемых для удовлетворения по
требностей компетентности;
-периодически проверять компетентность персонала.
На протяжении процесса аудита организация обязана поддерживать соответствую
щие записи об образовании, обучении, навыках и опыте. Однако ИСО/МЭК 27001 не
определяет, как будет устанавливаться этот процесс или точный характер поддержива
емых записей.
1) При аудите соответствия организации требованиям оценивания компетентности и
обучения аудитор, как правило, должен искать свидетельства рассмотрения следующих
35