ГОСТ Р ИСО/МЗК 27007 -2014
Продолжение таблицы А.1
ИСО/МЭК 27001 могут быть распространены на перечни контрольных вопросе вдля под
держки аудита. Аудитор должен также проверить рассмотрение и контроль согласован
ных планов действий, корректирующих мер и т. д. в согласованные временные сроки,
уделяя особое внимание любым просроченным мерам для текущих примеров.
Организация должна быть способна извлекать максимальную пользу из использова
ния доступных ресурсов во время проведения внутренних аудитов СМИБ.
Должны существовать свидетельства того, что организация:
- определила требования компетентное™ для своих внутренних аудиторов СМИБ;
-предоставила соответствующее обучение;
- установила процесс мэниторинга деятельности своих внутренних аудиторов СМИБ
и аудиторских групп;
- включила в свои аудиторские группы персонал, обладающий соответствующими ха
рактерными для данной области деятельности знаниями (чтобы они могли идентифици
ровать. где изменения конкретного процесса или деятельности могут приводить к суще
ственным последствиям для информационной безопасности).
Следует удостовериться, что организация спланировала внутренние аудиты СМИБ и
определила методы аудита, чтобы обеспечить эффективное и результативное исполь
зование ресурсов. Это также поможет удостовериться в том, что риски, связанные с
ошибками аудита в аудиторском процессе и результатами аудита, сведены к минимуму.
У организации должен быть установлен процесс использования результатов про
шлых аудитов при планировании будущих внутренних аудитов СМИБ. Аудитор должен
проверить, что организация использует подобные данные при установлении частоты
аудитов таких процессов и деятельности.
Принимая в расчет вышеупомянутые факторы и изучив вопрос, ведет ли процесс
внутреннего аудита СМИБ к каким-либо «осязаемом» усовершенствованиям СМИБ,
аудитор СМ ИБдолжен быть способен сформировать заключение, реализовала ли орга
низация эффективную программу внутреннего аудита СМИБ. Аудитор СМИБ должен
быть также способен сформтроватъ заключение, действительно ли результаты внутрен
них аудитов СМИБ обеспечивают адекватные свидетельства использования компонен
тов для усовершенствования процессов СМИБ.
Проверка СМ1Б со стороны руководства (раздел 7)
Аудит проверки СМ1Б со стороны руководства (подраздел 7.1)
ИСО/МЭК 27001 требует от руководства проведения проверки СМ ИБорганизации че
рез запланированные интервалы времени (по крайней мере, раз в год) для обеспечения
уверенности в ее постоянной пригодности, адекватности и эффективности. Нужно опре
делить, когда руководство осуществляло предыдущую проверку СМИБ и когда оно пла
нирует сделать это в следующий раз. Частота проверок должна быть определена,
например, в политике СМИБ или в политике гиенеджмгнта информационной безопасно
сти.
38