ГОСТ Р ИСО/МЗК 27007 -2014
Продолжение таблицы А.1
вопросов.
Организации нужно идентифицировать, какой компетентностью должен обладать персо
нал, выполняющий работу, которая влияет на информационную безопасность.
Целью аудитора должно быть определение, существует ли систематический подход для
идентификации такой компетентности и проверка эффективности этого подхода. Выхо
дом процесса может быть перечень, реестр, база данных, кадровый план, план повыш е-
ния компетентности, договор, план проекта или продукции и т. д.
Сначала должны быть проведены беседы с руководством, чтобы удостовериться, что
оно понимает важность определения требуемой компетентности. Беседы с руковод
ством также могут служить потенциальным источником информации о новых или меня
ющихся видах деятельности или процессах, которые могут приводить к иным требова
ниям компетентности в организации. Проверка компетентности может быть также необ
ходима при рассмотрении нового тендера или договора. Свидетельства этого могут
быть найдены в соответствующих записях. Требования компетентности могут быть
включены в документацию договоров, в которых действия субподрядчиков могут оказы
вать влияние на процессы и/или информационную безопасность. Аудиторам нужно
установить, определила ли организация новые или изменившиеся потребности в компе
тентности, например, во время надзорного аудита.
2) Аудитор должен проверить квалификацию персонала, реализующего на рабочих
местах меры и средства контроля и управления информационной безопасностью.
Аудитор должен проверить наличие некоторой формы процесса оценки, чтобы удосто
вериться, что компетентность соответствует деятельности организации и что персонал,
выбранный как компетентный, демонстрирует соответствующую компетентность. Про
цесс должен также подтверждать, что в отношении любых недостатков принимаются
меры и что эффективность персонала оценивается. Необходимо убедиться, что меро
приятия, влияющие на информационную безопасность, осуществляются компетентными
лицами. Свидетельства могут быть получены во время аудита, уделяющего особое вни
мание процессам, мероприятиям, задачам и продуктам, где вмешательство человека
может оказывать наибольшее влияние. Аудитор может проверять перечни служебных
обязанностей, мероприятия тестирования или инспектирования, процессы мониторинга,
записи проводимых руководством проверок, определение обязанностей и полномочий,
записи о несоответствиях, отчеты о результатах аудита, жалобы клиентов, записи об
аттестации процессов и т. д.
3) Организации нужно оценивать эффективность действий, предпринимаемых для
удовлетворения потребностей компетентности.
Организация мажет использовать ряд методов, включая ролевые игры, оценивание кол
легами, наблюдение, проверки записей об обучении и записей втрудовой книжке иАтли
опросы (дополнительнье примеры см. втаблице 2 ИСО 19011:2011). Правомерность
конкретного метода оценивания будет зависеть от многих факторов. Например, записи
36