ГОСТ Р ИСО/МЭК27007 -2014
Продолжение таблицы А.1
Проверка может проводиться на отдельном совещании, но это не является требова
нием стандарта. Существует мю го способов, посредством которых руководство может
проводить проверку СМИБ, например, получение и проверка отчетов, электронное взаи
модействие или проведение проверки как части регулярных совещаний руководства, где
также обсуждаются такие вопросы, как бюджет и плановые цели.
Процесс проводимой руководством проверки не должен быть мероприятием, осу
ществляемым исключительно для удовлетворения требований стандарта и аудиторов;
он должен быть интегральной частью процесса управления бизнесом организации. Об
щая проводимая руководством проверка представляет собой сложный процесс, осу
ществляемый на различных уровнях организации. Проверка всегда должна быть двусто
ронним процессом, производимом высшим руководством с участием всех уровней орга
низации. Это участие может быть разнообразным от ежедневных, еженедельных, еже
месячных совещаний подразделений организации до простых обсуждений и отчетов.
Аудиторы должны искать свидетельства того, что входы и выходы процесса прово
димой руководством проверки соответствуют размерам и сложности организации и что
они используются для совершенствования СМИБ. Аудиторы должны также рассмотреть,
как структурировано руководство организации и как в этой структуре используется про
цесс проводимой руководством проверки.
Записи проводимой руководством проверки необходимы, но их формат не специфи
цирован. Наиболее распространенным видом записей являются протоколы совещаний,
но приемлемыми видами записей могут быть также электронные записи, статистические
диаграмма, презентации и т. д. Важно обеслечпъ наличте свидетельств для демон
страции того, что были учтены все вопросы, перечисленные в разделе 7
ИСО/МЭК27001:2005, даже если было принято решение, что никакие действия не нуж
ны.
Процесс проводимой руководством проверки может также включать элементы плани
рования СМИБ, где рассматриваются изменения процессов и систем. В этом случае
аудиторы должны проверить, учитываются ли следующие моменты:
-оцениваются ли предложенные изменения до реализации?
-рассматриваются ли вопросы, связанные со СМИБ. при подготовке стратегических
планов?
-идентифицируются ли необходимые меры и средства контроля и управления до ре
ализации изменений, например, до начала аутсорсинга процесса?
Входныедаиныедля проверки со стороны руководства (подраздел 7.2)
Подраздел 7.2 ИЗО/МЭК 27001 специфицирует информацию, требуемую для прово
димой руководством проверки, и пункты данного подраздела необходимо учесть. Однако
это не все вопросы, которые могут быть включены впроверку. Они не могут быть рас
смотрены по отдельности или одновременно, а только как часть общей проверки бизне
са. Аудиторы должны сознавать, что исходная информация может быть представлена в
39