ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ

НАЦИОНАЛЬНЫЙ

СТАНДАРТ

РОССИЙСКОЙ

ФЕДЕРАЦИИ

Информационная технология

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Руководства по аудиту систем менеджмента информационной безопасности

ISO/IEC 27007:2011

Information technology -- Security techniques -- Guidelines for information security management systems auditing (IDT)

Издание официальное

Предисловие

1    ПОДГОТОВЛЕН Федеральным государственным унитарным предприятием «Всероссийский научно-исследовательский институт стандартизации и сертификации в машиностроении» (ФГУП «ВНИИНМАШ»), Обществом с ограниченной ответственностью «Информационно-аналитический вычислительный центр» (ООО «ИАВЦ») и Обществом с ограниченной ответственностью «Научно-производственная фирма «Кристалл» (ООО «НПФ «Кристалл») на основе собственного аутентичного перевода на русский язык стандарта, указанного в пункте 4

2    ВНЕСЕН Техническим комитетом по стандартизации ТК 22 «Информационные технологии»

3    УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от «11» июня 2014 г. № 563-ст

4    Настоящий стандарт идентичен международному стандарту ИСО/МЭК 27007:2011 «Информационная технология. Методы обеспечения безопасности. Руководства по аудиту систем менеджмента информационной безопасности» (ISO/IEC 27007:2011 «Infomiation technology - Security techniques - Guidelines for information security management systems auditing»)

Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5 (пункт 3.5)

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о которых приведены в дополнительном приложении ДА

5    ВВЕДЕН ВПЕРВЫЕ

Правила применения настоящего стандарта установлены в ГОСТ Р 1.0-2012 (раздел 8). Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты». а официальный текст изменений и поправок - в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (gost.ru)

О Стандартинформ. 2015

Настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распространен в качестве официального издания без разрешения Федерального агентства по техническому регулированию и метрологии

ГОСТ Р ИСО/МЭК 27007—2014

7.4    Выбор соответствующего метода оценки аудитора

Применять руководство подраздела 7.4 ИСО 19011:2011.

7.5    Проведение оценки аудитора

Применять руководство подраздела 7.5 ИСО 19011:2011.

7.6    Поддержание и повышение компетентности аудитора Применять руководство подраздела 7.6 ИСО 19011:2011.

8

ГОСТ Р ИСО/МЭК 27007—2014

Приложение А (справочное)

Практическое руководство по аудиту СМИБ

В настоящем приложении представлено общее руководство по проведению аудита процессов СМИБ, согласно требованиям ИСО/МЭК 27001 При этом не принимаются во внимание какие-либо особые требования СМИБ, которые могут существовать у конкретной организации (например, правовые, нормативные и договорные требования, а также иные требования, относящиеся к реализации конкретных мер и средств контроля и управления информационной безопасностью).

Это руководство является справочным и предназначено для использования аудиторами, проводящими внутренний или внешний аудит СМИБ

Необязательные дополнительные стандарты могут быть использованы как справочное руководство для проверяемой организации или аудитора В приведенной таблице А 1 они перечислены как «Сопутствующие стандарты». Аудиторам следует помнить, что выводы о несоответствиях должны основываться исключительно на критериях аудита и требованиях ИСО/МЭК 27001

Таблица А 1 - Практическое руководство по аудиту СМИБ

А.1 Сфера действия, политика и подход к оценке риска СМИБ (ИСО/МЭК 27001, подраздел 4.1, перечисления а)-с) пункта 4.2.1) Критерии аудита ИСО/МЭК 27001п, подраздел 4.1, перечисления а), Ь) и с) пункта 4 2.1 Сопутствующие стандарты ИСО/МЭК 17021, перечисления aHJ) пункта 9 2 1 ИСО/МЭК 27005, подразделы 3 1-3 9 (ИСО/МЭК Руководство 73) ИСО/МЭК 27005. подразделы 7 1. 7.2. 7 3 и 7 4 ИСО/МЭК 27006 подразделы 3 1,3 5, пункт 9 1 2 и перечисления b)-d) подпункта 9 14 2 Свидетельства аудита Свидетельства аудита включают -    область действия СМИБ (перечисление Ь) пункта 4 3 1); -    схему организационной структуры; -    стратегию организации. -    формулировку политики бизнеса, бизнес-процессы и виды деятельности, -документацию, касающуюся ролей и обязанностей, -    конфигурацию сети, -    информацию об объектах, включая список отделений, фирм, офисов и помещений и их схемы размещения, -    взаимодействия и зависимости, которые деятельность бизнеса, осуществляемая в рамках области действия СМИБ, имеет вне ее области действия -    соответствующие законы, предписания и договоры; -    основную информацию об активах, -документированную политику СМИБ Практическое руководство по аудиту Система менеджмента информационной безопасности (раздел 4) Общие требования (подраздел 4.1) Общий контекст СМИБ определяется в соответствии с подразделом «4 1 Общие требования» ИСО/МЭК 27001, охватывая все требования, изложенные в последующих по отношению к 4.1 разделах В течение выполнения аудита следует подтвердить, что СМИБ -    сформирована и осуществлена в контексте общей деятельности бизнеса организации и рисков, с которыми она сталкивается. -    документально оформлена, удовлетворяя требованиям документирования (изложенным в подразделе 4 3). Кроме того, должно быть продемонстрировано, что СМИБ установлена, реализована, приведена в действие, подвергается мониторингу и проверкам, поддерживается и совершенствуется Например, организация демонстрирует свою способность выполнения этих процессов Разработка и управление СМИБ (подраздел 4.2) Разработка СМИБ () Область действия СМИБ (перечисление а) пункта 4.2.1)

Ссылки без указанной даты относятся к версии стандарта, приведенной в «Нормативных ссылках» или «Библиографии»

9

Аудитор должен проверить и подтвердить, что организация определила сферу действия и границы СМИБ

Область действия СМИБ должна быть идентифицирована, чтобы обеспечить уверенность в том, что в СМИБ учтены все важные активы и осуществляется менеджмент риска Кроме того, нужно идентифицировать границы, взаимодействия и зависимости для рассмотрения вопроса рисков, которые могут возникать через них

Нужно подтвердить, что информация об организации была собрана с целью определения контекста, в котором действует организация, и отношения организации к СМИБ и процессам менеджмента риска информационной безопасности для определения области действия и границ

Аудитор должен подтвердить, что организация принимала во внимание следующую информацию. чтобы определить область действия и границы

-    стратегии, цели бизнеса и политики организации.

-    бизнес-процессы,

-    функции и структуру организации;

-    правовые, нормативные и договорные требования, имеющие отношение к организации.

-    основные информационные активы;

-    месторасположение организации и ее географические характеристики,

-    ограничения, влияющие на организацию;

-    ожидания заинтересованных сторон.

-    социально-культурную среду.

-    интерфейсы (например, информационный обмен со средой).

Следует проверить и подтвердить предоставление организацией обоснования для любого исключения из области действия Следует подтвердить наличие у организации собственных служб и администрации, способных обеспечить уверенность в постоянном действии СМИБ в течение всего жизненного цикла (подраздел 41 ИСО/МЭК 27001 и подраздел 3 5 ИСО/МЭК 27006)

Дальнейшее руководство по аудиту области СМИБ приведено в пункте 6 2 3 настоящего

стандарта_

Политика СМИБ (перечисление Ь) пункта 4.2.1)_

Аудитор должен подтвердить, что политика СМИБ организации конкретным образом описана с точки зрения характеристик бизнеса, организации, ее месторасположения, активов и технологий Аудитор должен также подтвердить, что политика СМИБ четко идентифицирует:

-    структуру для установления целей СМИБ (исходную информацию и логическое обоснование для установления целей, а в случае описания политики СМИБ и политик информационной безопасности в одном документе - цели), а также направление и принципы действий с точки зрения руководства;

-    необходимые требования бизнеса, правовые и договорные требования, а также иные требования. важные для проверяемой организации;

-    положение менеджмента риска информационной безопасности по отношению к общему менеджменту риска организации и их взаимодействие, включая CSR, внутреннее управление, финансовый контроль и безопасность и т д .

-    логическое обоснование для менеджмента рисков, например, какие основные активы должны рассматриваться как важные с точки зрения защиты и какие аспекты информационной безопасности, т е конфиденциальность, целостность или доступность, должны оцениваться наиболее серьезно при проведении оценки риска СМИБ;

-    одобрение и ответственность высшего руководства.

Аудит политики СМИБ может проводиться путем

-    подтверждения того, что политика СМИБ создана как документ, который включает подписи или печати, указывающие, что политика утверждена высшим руководством.

-    подтверждения посредством соответствующих документов, что процедуры создания политики (например, способы санкционирования или проверки политики в организации) и правила для этих процедур определены, правила документально оформлены и методы контроля документации специфицированы.

-    бесед с руководством, чтобы понять его подход и ответственность в организации СМИБ,

-    оценивания, посредством изучения протоколов и записей по результатам проводимых руководством проверок, участия и заинтересованности руководства в реализации, поддержке и совершенствовании политики СМИБ,

-    оценки эффективности доведения руководством политики СМИБ. например, сосредотачивая ее на конкретной аудитории, на всех уровнях организации.

ГОСТ Р ИСО/МЭК 27007—2014

Продолжение таблицы А 1_

-    проведение бесед с персоналом, находящимся в области действия СМИБ. чтобы проверить осознание им важности выполнения целей информационной безопасности, соблюдения политики информационной безопасности и своих обязанностей, связанных с информационной безопасностью.

-    рассмотрение политики информационной безопасности (если это возможно) и ее связи с политикой СМИБ

Аудит целей СМИБ может проводиться путем подтверждения того, что • цели СМИБ организации определены, отражены в политике СМИБ и согласованы с общими целями бизнеса;

-    меры и средства контроля и управления и процессы СМИБ идентифицированы и документально оформлены в соответствии с целями СМИБ.

-    цели документированы в достаточной мере.

-    цели СМИБ соответствующим образом доведены до всех уровней организации;

-    в организации определены лица, ответственные за ресурсы, необходимые для достижения целей

Рекомендуется, чтобы аудитор изучал документально оформленную политику и цели СМИБ на этапе аудита, посвященном проверке документации

Политика и цели СМИБ должны пересматриваться и обновляться в соответствии с изменениями контекста менеджмента риска Аудитор должен подтвердить проведение постоянного совершенствования по отношению к контексту среды бизнеса

Аудитор должен иметь в виду, что соответствие политике СМИБ и выполнение целей

может измеряться количественным или качественным образом_

Подход к оценке риска (перечисление с) пункта 4.2.1)_

ИСО/МЭК 27001 требует от организаций определения подхода к оценке риска, в перечислениях d)-f) пункта 4.2.1 определены элементы этого подхода В ИСО/МЭК 27001 не указан какой-то определенный подход к оценке риска, в нем просто отмечается, что любой подход является приемлемым, пока он отвечает его требованиям

Аудитор должен проверить, что подход к оценке риска соответствует требованиям к оценке риска, приведенным в ИСО/МЭК 27001, подходит для организации и соответствует существующему общему подходу к менеджменту риска

Необходимо подтвердить, что подход к оценке риска реализован с целью идентификации рисков бизнес-процессов и деятельности и принятия соответствующих мер в отношении рисков

ИСО/МЭК 27005 предоставляет руководство по оценке риска и менеджменту риска Аудитор должен сознавать, что для оценки риска существуют количественные и качественные методы или любые их комбинации и решение о том, какой подход использовать, зависит от организации

Процессы и процедуры. приведенные в перечислениях сН) пункта 4 21 ИСО/МЭК 27001 2005, должны быть определены, реализованы и документально оформлены как подход к оценке риска в соответствии с заявлением руководства, описанным в политике СМИБ организации (см перечисление Ь) 4) пункта 4 2 1 ИСО/МЭК 27001 2005 - критерии оценки рисков) В определение подхода включается рассмотрение соответствия правовым и договорным требованиям, а также иным требованиям, важным в отношении рисков и активов, которыми организация должна стратегически управлять, в контексте бизнеса и оценивания риска Во время аудита должно быть подтверждено, что подход реализован и выполняется, как требуют перечисления b)-j) пункта 4 2 1 ИСО/МЭК 27001 2005 Аудитор должен подтвердить, что результаты оценок риска, полученные в соответствии с подходом к оценке риска, сопоставимы и воспроизводимы

Иными словами, аудитор должен подтвердить, что подход позволяет любым сотрудникам, отвечающим за оценку риска, придти к одинаковым результатам независимо от того, кто и когда проводит оценку риска, при условии, что они обладают определенным уровнем компетентности в сфере оценки риска и проводят оценки одних и тех же активов в соответствии с процессами и процедурами, определенными в подходе Если получается иной результат, должна быть возможность идентифицировать, где и когда возникло различие в оценке риска Также для организации необходимо, чтобы существовал подход, способный приводить к одинаковому выбору мер и средств контроля и управления для обработки риска, если оцененные риски одинаковы, тес одним и тем же уровнем риска и свойствами (активы и требования безопасности).

Такое подтверждение должно проводиться путем отбора записей из отчетов об оценке риска, для прослеживания в прямом и обратном направлении последовательности процесса оценки риска, вместе с аудитами активов на месте

11

	На критерии принятия риска часто влияют политики менеджмента риска организации, цели, технология, денежные средства, соответствующие законы и предписания и заинтересованные стороны, и в итоге они определяются организацией Поэтому аудиторам необходимо с должным вниманием проверять эффективность критериев с точки зрения вышеуказанных обьектов, подтверждая также, что они определены и существуют За более детальной интерпретацией критериев принятия риска аудиторы могут обращаться к подразделу 7 2 ИСО/МЭК 27005 2008".
А.2 Идентификация, анализ и оценивание риска, идентификация и оценивание вариантов обработки риска (ИСО/МЭК 27001 перечисления d)-f) пункта 4.2.1)
Критерии аудита	ИСО/МЭК 27001, перечисления d). е). 0 пункта 4 2.1
Сопутствующие стандарты	ИСО/МЭК 27005. подразделы 8 2. 8 3. разделы 9. 10
Свидетельства аудита	Свидетельства аудита включают -    инвентарную опись активов. -    документированную методику оценки риска. -    отчеты об оценке риска.
Практическое ру-	Идентификация риска (перечисление d) пункта 4.2.1)
ководство по аудиту	Аудитор должен проверить инвентарную опись активов, чтобы подтвердить, что все соответствующие значимые активы, входящие в область действия СМИБ. включены в инвентарную опись и для всех активов определены ответственные владельцы Он должен проверять идентификацию связанных с активами угроз, используемых угрозами уязвимостей и вызываемых ими сбоев обеспечения безопасности, т е сценарии инцидентов, указанные в ИСО/МЭК 27005
	Анализ и оценивание риска (перечисление е) пункта 4.2.1)
	Важно удостовериться, что при оценке риска рассматриваются все важные активы, входящие в область действия СМИБ. и что оценка угроз/уязвимостей в отношении активов адаптирована под организацию, а не просто использует стандартные списки угроз и уязвимостей Также важно отслеживать риски, которые по своей сути неправильно установлены или значимость которых преуменьшена, например, если соответствующие меры и средства контроля и управления являются дорогостоящими или трудно реализуемыми или если риски были неправильно поняты Аудитор должен на выборке подтвердить, что все значимые активы, перечисленные в инвентарной описи активов, включены в оценку риска и проверить выборку сценариев инцидентов с оцененным риском, чтобы дать оценку, отражают ли они соответствующим образом потребности и влияния бизнеса Наличие компетентного персонала важно для хорошего функционирования СМИБ Аудитор должен оценить свидетельства того, что среднесрочные и долгосрочные риски, связанные с утратой работоспособного персонала, адекватным образом оценены организацией и пересмотрены с учетом последних корректировок и что реализованы соответствующие меры и средства контроля и управления информационной безопасностью для повышения устойчивости организации в отношении таких потерь
	Варианты обработки риска (перечисление f) пункта 4.2.1)
	Аудитор должен проверить выбранные организацией варианты обработки риска Следует проверить, специфицирована ли для всех идентифицированных рисков соответствующая «обработка» (т. е снижение риска посредством применения соответствующих мер и средств контроля и управления, предотвращение риска, перенос риска на третьи стороны или сознательное принятие рисков, если они подпадают под аппетит к риску руководства) Аудитор должен искать расхождения и другие аномалии и проверять, были ли недавние изменения (например, новые системы ИТ или бизнес-процессы) соответствующим образом включены в оценку риска и решения по обработке риска
А.З Выбор целей контроля и мер и средств контроля и управления, утверждение предлагаемых остаточных рисков, получение разрешения руководства и «Положение о применимости» (ИСО/МЭК 27001. перечисления g)-j) пункта 4.2.1)
Критерии аудита	ИСО/МЭК 27001, перечисления дН) пункта 4 2 1, Приложение А

¹ Отменен Действует ИСО/МЭК 27005 2011 Для однозначного соблюдения требований настоящего стандарта. выраженных в датированных ссылках, рекомендуется использовать только указанный ссылочный стандарт 12

ГОСТ Р ИСО/МЭК 27007—2014

Сопутствующие стандарты	ИСО/МЭК 27005, подразделы 9 1, 9 2, разделю ИСО/МЭК 27006, пункт 9 1 2
Свидетельства аудита	Свидетельства аудита включают -документированную методику оценки риска; -    отчеты об оценке риска; -    документы, описывающие степень снижения рисков принятыми мерами и средствами контроля и управления (результаты оценки риска). -    записи, указывающие на утверждение остаточных рисков руководством (в частности, в случаях, когда остаточные риски выше уровня, определенного в критериях для принятия рисков, в записи должно быть включено их обоснование); -    записи, демонстрирующие санкционирование руководством реализации и введения в действия СМИБ; -    положение о применимости
Практическое руководство ПО аудиту	Выбор целей контроля и мер и средств контроля и управления (перечисление д) пункта 4.2.1)
	Для соблюдения требований информационной безопасности, выведенных из оценки риска, и применения вариантов обработки риска, выбранных для этих требований, аудитор должен проверить на соответствующей выборке, что меры и средства контроля и управления выбраны и запланированные цели контроля достигнуты Аудитор должен проверить, что выбранные меры и средства контроля и управления и цели контроля соответствуют требованиям информационной безопасности с учетом требований контроля, определенных в приложении А ИСО/МЭК 27001 (что касается интерпретации требований контроля в приложении А. то хорошим справочным материалом могут быть лучшие практические приемы, описанные в ИСО/МЭК 27002 как руководства по реализации) Любые существенные отличия от требований приложения А в выборе мер и средств контроля и управления (например, есть ли не принятые организацией цели контроля и меры и средства контроля и управления из приложения А, или есть ли дополнительные цели контроля и меры и средства контроля и управления, выбранные за рамками приложения А) должны быть идентифицированы и проверены на наличие логического обоснования Кроме того, аудитор должен проверить, учитывались ли в процессе выбора мер и средств контроля и управления общепринятые лучшие практические приемы для соответствующей сферы бизнеса Следует проверить, что любые требования информационной безопасности, четко предписанные политиками организации, отраслевыми предписаниями, законами или договорами и т д . надлежащим образом отражены в документально оформленных целях контроля и мерах и средствах контроля и управления и что риски снижены до четких критериев принятия рисков Следует подтвердить, что обработка рисков применяется повторно, если остаточные риски не удовлетворяют критерию принятия рисков даже после принятия мер и средств контроля и управления
	Утверждение предполагаемых остаточных рисков (перечисление h) пункта 4.2.1) Получение разрешения руководства (перечисление i) пункта 4.2.1)
	Аудитор должен вкратце оценить остаточные риски информационной безопасности и подтвердить. что организация получила одобрение руководства в отношении остаточных рисков, которые остаются после выбора мер и средств контроля и управления для обработки рисков Следует проверить, что руководство провело формальное рассмотрение и принятие остаточных рисков, что риски находятся в рамках определенного аппетита организации к риску, что решения о принятии риска принимаются руководством в форме распоряжения на достаточно авторитетном уровне и что в случаях, когда уровни остаточных рисков не могут быть снижены ниже критериев принятия, руководство принимает решение об официальном принятии рисков и причины такого решения фиксируются Кроме того, аудитор должен подтвердить, что руководство санкционировало реализацию и введение в действие СМИБ, например, посредством официального приказа, утверждения проекта, письма с выражением поддержки от исполнительного директора и т д Следует проверить, что это не простая формальность, а существуют свидетельства того, что руководство действительно понимает и поддерживает СМИБ
	Положение о применимости (перечисление j) пункта 4.2.1)
	Аудитор должен проверить «Положение о применимости» организации, в котором документированы и обоснованы цели контроля и меры и средства контроля и управления, как применяемые, так и неприменяемые Важно, чтобы «Положение о применимости» демонстрировало связь между идентифицированными рисками и выбранными для их снижения мерами и средствами контроля и управления Также важно, чтобы были приведены обоснования для мер и средств контроля и управления, идентифицированных как неприменяемые Аудитор должен подтвердить, что для всех перечисленных в приложении А ИСО/МЭК 27001 целей контроля и мер и средств контроля и управления существуют соответствующие записи

ГОСТ Р ИСО/МЭК 27007—2014

Введение

ИСО/МЭК 27007 был подготовлен совместным техническим комитетом ИСО/МЭК СТК1, «Информационная технология». Подкомитетом ПК 27. «Методы и средства обеспечения безопасности ИТ».

Настоящий стандарт предоставляет руководство по менеджменту программы аудита системы менеджмента информационной безопасности (СМИБ) и проведению внутренних или внешних аудитов на соответствие ИСО/МЭК 27001:2005. а также руководство по вопросу компетентности и оценки аудиторов СМИБ. которое следует использовать совместно с руководством, содержащимся в ИСО 19011.

Настоящий стандарт предназначен для всех пользователей, включая малые и средние организации.

В ИСО 19011. «Руководящие указания по аудиту систем менеджмента» представлено руководство по менеджменту программ аудита, проведению внутренних или внешних аудитов систем менеджмента, а также по вопросу компетентности и оценки аудиторов систем менеджмента.

Текст настоящего стандарта соответствует структуре ИСО 19011. а дополнительное, ориентированное на СМИБ, руководство по применению ИСО 19011 для аудита СМИБ обозначается буквами «ИБ».

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

Информационная технология

МЕТОДЫ И СРЕДСТВА ОБЕСПЕЧЕНИЯ БЕЗОПАСНОСТИ

Руководства по аудиту систем менеджмента информационной безопасности

Information technology - Security techniques - Guidelines for information security management systems

auditing

Дата введения — 2015—06—01

1    Область применения

Настоящий стандарт в дополнение к указаниям, содержащимся в ИСО 19011. предоставляет руководство по менеджменту программы аудита системы менеджмента информационной безопасности (СМИБ). по проведению аудитов и по определению компетентности аудиторов СМИБ.

Настоящий стандарт применим для тех организаций, которые нуедаются в понимании или проведении внутренних или внешних аудитов СМИБ или осуществлении менеджмента программы аудита СМИБ.

2    Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие международные стандарты. Для датированных ссылок следует использовать только указанное издание Для недатированных ссылок - последнее издание указанного документа (включая все его изменения).

ИСО 19011:2011 Руководящие указания по аудиту систем менеджмента (ISO 19011:2011. Guidelines for auditing management systems)

ИСО/МЭК 27001:2005' Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования (ISO/IEC 27001:2005. Information technology - Security techniques - Information security management systems - Requirements)

ИСО/МЭК 27000:2009^: Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Обзор и терминология (ISO/IEC 27000:2009. Information technology - Security techniques - Information security management systems - Overview and vocabulary)

Примечание - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю «Национальные стандарты», который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя «Национальные стандарты» за текущий год Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия) Если после утверждения настоящего стандарта в ссылочный стандарт. на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана

’’ Отменен Действует ИСО/МЭК 27001 2013 Для однозначного соблюдения требований настоящего стандарта. выраженных в датированных ссылках, рекомендуется использовать только указанный ссылочный стандарт

" Отменен Действует ИСО/МЭК 27000 2014 Для однозначного соблюдения требований настоящего стандарта. выраженных в датированных ссылках, рекомендуется использовать только указанный ссылочный стандарт

Издание официальное

ссылка, то это положение рекомендуется применять без учета данного изменения Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку

3    Термины и определения

В настоящем стандарте применены термины и определения, приведенные в ИСО 19011 и ИСО/МЭК 27000.

4    Принципы проведения аудита

Применять принципы проведения аудита, приведенные в разделе 4 ИСО 19011:2011.

5    Менеджмент программы аудита

5.1    Общие положения

Применять руководство подраздела 5.1 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.1.1    ИБ 5.1 Общие положения

Должна быть разработана программа аудита СМИБ. основанная на ситуации, связанной с риском информационной безопасности проверяемой организации.

5.2    Разработка целей программы аудита

Применять руководство подраздела 5.2 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.2.1    ИБ 5.2 Разработка целей программы аудита

Цели программы (программ) аудита должны быть установлены, для того чтобы руководить планированием и проведением аудитов и обеспечивать эффективную реализацию программы аудита. Цели могут зависеть от:

a)    идентифицированных требований информационной безопасности;

b)    требований ИСО/МЭК 27001;

c)    уровня качества функционирования проверяемой организации, который отражает случаи возникновения сбоев и инцидентов информационной безопасности и эффективность измерений;

d)    рисков информационной безопасности организации, подвергающейся аудиту.

Примеры целей программы аудита могут включать следующее:

1)    проверку соответствия установленным правовым и договорным требованиям, а также иным требованиям и связанным с ними последствиям для безопасности;

2)    достижение и поддержку уверенности в возможностях менеджмента риска проверяемой

организации.

5.3    Разработка программы аудита

5.3.1    Роли и обязанности лица, осуществляющего менеджмент программы аудита

Применять руководство пункта 5.3.1 ИСО 19011:2011.

5.3.2    Компетентность лица, осуществляющего менеджмент программы аудита

Применять руководство пункта 5.3.2 ИСО 19011:2011.

5.3.3    Определение объема программы аудита

Применять руководство пункта 5.3.3 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.3.3.1 ИБ 5.3.3 Определение объема программы аудита

Объем программы аудита может меняться. Факторы, которые могут влиять на объем программы аудита:

а) масштаб СМИБ. включая:

1) общее количество сотрудников, работающих на каждом объекте, и взаимоотношения со сторонними организациями, регулярно работающими на проверяемом объекте;

Для целей данного документа использование термина «аудит» относится к аудитам СМИБ

ГОСТ Р ИСО/МЭК 27007—2014

2)    количество информационных систем;

3)    количество объектов, охваченных СМИБ;

b)    сложность СМИБ (включая количество и критичность процессов и видов деятельности);

c)    значимость рисков информационной безопасности, идентифицированных для СМИБ;

d)    важность информации и связанных с ней активов в области действия СМИБ;

e)    сложность информационных систем, подлежащих аудиту на объекте, включая сложность использованной информационной технологии (ИТ);

0 наличие многих сходных объектов;

д) изменения сложности объектов, находящихся в области действия СМИБ.

В программе аудита следует уделить внимание установлению приоритетов на основе рисков информационной безопасности и требований бизнеса в отношении областей СМИБ. требующих более детального изучения

Дополнительную информацию о выборке нескольких объектов можно найти в ИСО/МЭК 27006:2007’ и IAF MD 1:2007 (7). информация в которых относится только к сертификационным аудитам.

5.3.4    Идентификация и оценка рисков программы аудита

Применять руководство пункта 5.3.4 ИСО 19011:2011.

5.3.5    Разработка процедур по программе аудита

Применять руководство пункта 5.3.5 ИСО 19011:2011.

5.3.6    Идентификация ресурсов для программы аудита

Применять руководство пункта 5.3.6 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ

5.3.6.1    ИБ 5.3.6 Идентификация ресурсов для программы аудита

Для всех существенных рисков, применяемых к проверяемой организации, аудиторам должно быть выделено достаточно времени для проверки эффективности соответствующих мер по уменьшению риска.

5.4 Реализация программы аудита

5.4.1    Общие положения

Применять руководство пункта 5.4.1 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.4.1.1    ИБ 5.4.1 Общие положения

В случае необходимости при реализации программы аудита должны рассматриваться требования конфиденциальности проверяемых и других заинтересованных сторон, включая возможные правовые или договорные требования.

5.4.2 Определение целей, области и критериев для каждого конкретного аудита

Применять руководство пункта 5.4.2 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ

5.4.2.1    ИБ 5.4.2 Определение целей, области и критериев для каждого конкретного аудита

Область аудита должна отражать риски информационной безопасности, соответствующие требованиям бизнеса, и риски бизнеса проверяемой организации.

Дополнительно цели аудита могут включать следующее:

a)    оценивание, достаточно ли определена область СМИБ и учтены ли все требования информационной безопасности;

b)    оценивание актуальности целей СМИБ. определенных руководством; и

c)    оценивание процессов поддержки и эффективного совершенствования СМИБ.

Практическая помощь - примеры критериев аудита

Ниже приведены темы, которые могут быть рассмотрены в качестве критериев аудита:

1)    методика оценки риска информационной безопасности и результаты оценки и обработки риска проверяемой организации и учет ими всех соответствующих требований;

2)    версия «Положения о применимости» и его связь с результатами оценки риска;

3)    готовность к вводу в действие мер и средств контроля и управления для снижения риска;

4)    параметры эффективности реализованных мер и средств контроля и управления и применение этих параметров, как определено для измерения эффективности мер и средств контроля и управления (см ИСО/МЭК 27004);

’’ Отменен Действует ИСО/МЭК 27006 2011 Для однозначного соблюдения требований настоящего стандарта. выраженных в датированных ссылках, рекомендуется использовать только указанный ссылочный стандарт

5)    деятельность по мониторингу и проверке процессов СМИБ и мер и средств контроля и управления;

6)    внутренние аудиты и проводимые руководством проверки СМИБ и корректирующие меры, принимаемые организацией;

7)    информация об адекватности и соблюдении политик, целей и процедур, принятых проверяемой организацией;

8)    соответствие конкретным правовым и договорным требованиям, а также иным требованиям, важным для проверяемой организации, и их значение для информационной безопасности.

Аудиторская группа должна обеспечить уверенность, что область действия и границы СМИБ проверяемой организации четко определены с точки зрения характеристик деятельности организации. ее месторасположения, активов и технологий, включая детали и обоснование каких-либо недопущений в области действия. Аудиторская группа должна подтвердить, что проверяемая организация в области действия СМИБ учитывает требования, изложенные в пункте 1.2 ИСО/МЭК 27001:2005.

Следовательно аудиторы должны обеспечить уверенность, что оценка и обработка риска информационной безопасности проверяемой организации надлежащим образом отражают еб деятельность и ограничены сферой деятельности. Аудиторы должны подтвердить, что это отражено в «Положении о применимости».

Аудиторы также должны обеспечить уверенность, что взаимодействие с услугами или видами деятельности, не полностью входящими в сферу действия СМИБ. рассматривается в рамках СМИБ и включено в оценку риска информационной безопасности проверяемой организации. Примером такой ситуации является коллективное использование средств (например, систем ИТ. баз данных и телекоммуникационных систем) вместе с другими организациями.

5.4.3    Выбор методов аудита

Применять руководство пункта 5.4.3 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.4.3.1    ИБ 5.4.3 Выбор методов аудита

В случае проведения совместного аудита особое внимание должно уделяться сообщению информации во время аудита. Соглашение об этом должно быть достигнуто со всеми заинтересованными сторонами до начала аудита.

5.4.4    Формирование группы по аудиту

Применять руководство пункта 5.4.4 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.4.4.1    ИБ 5.4.4 Формирование группы по аудиту

Общая компетентность аудиторской группы должна включать:

a)    адекватные знания и понимание менеджмента риска информационной безопасности, являющиеся достаточными для оценки используемых проверяемой организацией методов: и

b)    адекватные знания и понимание необходимости обеспечения информационной безопасности и менеджмента информационной безопасности, являющиеся достаточными для оценки комплекта мер и средств контроля и управления, а также планирования, реализации, поддержки и эффективности СМИБ.

При необходимости, следует позаботиться о том. чтобы аудиторы получили необходимый допуск к информации для получения свидетельств аудита.

5.4.5    Закрепление обязанностей по проведению конкретного аудита за руководителем аудиторской группы

Применять руководство пункта 5 4.5 ИСО 19011:2011.

5.4.6    Управление выходными данными программы аудита

Применять руководство пункта 5 4.6 ИСО 19011:2011.

5.4.7    Управление и поддержание записей программы аудита

Применять руководство пункта 5.4.7 ИСО 19011:2011.

5.5    Мониторинг программы аудита

Применять руководство подраздела 5.5 ИСО 19011:2011.

5.6    Анализ и улучшение программы аудита

Применять руководство подраздела 5.6 ИСО 19011:2011.

4

ГОСТ Р ИСО/МЭК 27007—2014

6 Проведение аудита

6.1    Общие положения

Применять руководство подраздела 6.1 ИСО 19011:2011.

6.2    Организация проведения аудита

6.2.1    Общие положения

Применять руководство пункта 6.2.1 ИСО 19011:2011.

6.2.2    Установление первоначального контакта с проверяемой организацией

Применять руководство пункта 6.2.2 ИСО 19011:2011.

6.2.3    Определение возможности проведения аудита

Применять руководство пункта 6.2.3 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ

6.2.3.1    ИБ 6.2.3 Определение возможности проведения аудита

До начала аудита следует запросить проверяемую организацию о наличии записей СМИБ. недоступных для проверки аудиторской группой, например, содержащих конфиденциальную или критичную информацию. Лицо, отвечающее за менеджмент программы аудита, должно определить, возможно ли проведение аудита СМИБ в достаточной мере при отсутствии этих записей. Если делается вывод, что проведение аудита СМИБ в достаточной мере без анализа идентифицированных записей невозможно, ответственное лицо должно уведомить проверяемую организацию о невозможности проведения аудита, пока не будут предоставлены соответствующие права доступа или предложена альтернатива.

6.3    Подготовка к проведению аудита

6.3.1    Выполнение анализа документов при подготовке к аудиту

Применять руководство пункта 6.3.1 ИСО 19011:2011.

6.3.2    Подготовка плана аудита

Применять руководство пункта 6.3.2 ИСО 19011:2011.

6.3.3    Распределение работ между членами группы по аудиту

Применять руководство пункта 6.3.3 ИСО 19011:2011.

6.3.4    Подготовка рабочих документов

Применять руководство пункта 6.3.4 ИСО 19011:2011.

6.4    Проведение аудита

6.4.1    Общие положения

Применять руководство пункта 6.4.1 ИСО 19011:2011.

6.4.2    Проведение предварительного совещания

Применять руководство пункта 6.4.2 ИСО 19011:2011.

6.4.3    Выполнение анализа документов во время проведения аудита

Применять руководство пункта 6.4.3 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ

6.4.3.1 ИБ 6 4 3 Выполнение анализа документов во время проведения аудита

Аудиторы должны проверить наличие документации и ее соответствие требованиям ИСО/МЭК 27001

Аудиторы должны подтвердить, что выбранные меры и средства контроля и управления связаны с результатом процесса оценки и обработки риска и могут быть впоследствии прослежены до политики и целей СМИБ.

Примечание - В приложении А настоящего стандарта представлено руководство по проведению аудита процессов СМИБ и документации СМИБ

6.4.4    Обмен информацией в процессе проведения аудита

Применять руководство пункта 6.4.4 ИСО 19011:2011.

6.4.5    Роль и обязанности сопровождающих лиц и наблюдателей

Применять руководство пункта 6.4.5 ИСО 19011:2011.

5

6.4.6    Сбор и верификация информации

Применять руководство пункта 6 4.6 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

6    4.6.1 ИБ 6.4.6 Сбор и верификация информации

Сбор информации и свидетельств о реализации и эффективности процессов СМИБ. а также о мерах и средствах контроля и управления является важной частью аудита СМИБ. Возможные методы сбора соответствующей информации во время аудита включают:

a)    проверку информационных активов и процессов СМИБ. а также мер и средств контроля и управления, реализуемых для них: и

b)    использование автоматизированных инструментальных средств аудита.

Примечание -В приложении А настоящего стандарта представлено руководство по проведению аудита процессов СМИБ

Аудиторы СМИБ должны обеспечивать надлежащее обращение со всей информацией, полученной от проверяемой организации в соответствии с соглашением между проверяемой организацией и аудиторской группой.

6.4.7    Формирование выводов аудита

Применять руководство пункта 6.4.7 ИСО 19011:2011.

6.4.8    Подготовка заключений по результатам аудита

Применять руководство пункта 6.4.8 ИСО 19011:2011.

6.4.9    Проведение заключительного совещания

Применять руководство пункта 6.4.9 ИСО 19011:2011.

6.5    Подготовка и рассылка отчета по аудиту

6.5.1    Подготовка отчета по аудиту

Применять руководство пункта 6.5.1 ИСО 19011:2011.

6.5.2    Рассылка отчета по аудиту

Применять руководство пункта 6.5.2 ИСО 19011:2011.

6.6    Завершение аудита

Применять руководство подраздела 6.6 ИСО 19011:2011.

6.7    Действия по результатам аудита

Применять руководство подраздела 6.7 ИСО 19011.

7    Компетентность и оценка аудиторов

7.1    Общие положения

Применять руководство подраздела 7.1 ИСО 19011:2011.

7.2    Определение компетентности аудитора для удовлетворения потребностей программы аудита

7.2.1    Общие положения

Применять руководство пункта 7.2.1 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

7.2.1.1    ИБ 7.2.1 Общие положения

При принятии решения об уровне владения аудитором соответствующими знаниями и навыками необходимо учитывать следующее:

a)    сложность СМИБ (например, критичность информационных систем, специфика риска относительно СМИБ);

b)    вид(ы) деятельности бизнеса, осуществляемой в области действия СМИБ:

c)    уровень и разнообразие технологий, использованных при реализации различных компонентов СМИБ (например, реализованные меры и средства контроля и управления, контроль документации и/или процессов, корректирующие/превентивные действия и т. д.);

6

ГОСТ Р ИСО/МЭК 27007—2014

d)    количество площадок;

e)    ранее продемонстрированное функционирование СМИБ;

0 объем соглашений по аутсорсингу и с третьими сторонами, используемых в области действия СМИБ;

д) стандарты, правовые и иные требования, имеющие отношение к программе аудита.

7.2.2    Личные качества

Применять руководство пункта 7.2.2 ИСО 19011:2011.

7.2.3    Знания и навыки

7.2.3.1    Общие положения

Применять руководство подпункта 7.2.3.1 ИСО 19011:2011.

7.2.3.2    Общие знания и навыки аудиторов систем менеджмента Применять руководство подпункта 7.2.3.2 ИСО 19011:2011.

7.2.3.3    Знания и навыки аудиторов систем менеджмента, касающиеся особенностей дисциплины и области ее применения

Применять руководство подпункта 7.2.3.3 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ

7.2.3.3.1 ИБ 7.2.3.3 Знания и навыки аудиторов систем менеджмента, касающиеся дисциплины и областей ее применения

Аудиторы СМИБ должны обладать знаниями и навыками в следующих областях:

a)    методы менеджмента информационной безопасности: это позволит аудитору исследовать СМИБ и сформировать соответствующие выводы аудита и рекомендации. Знания и практические навыки в этой области должны включать:

1)    терминологию информационной безопасности;

2)    принципы менеджмента информационной безопасности и их применение;

3)    методы менеджмента риска информационной безопасности и их применение;

b)    общие знания информационной технологии и методы обеспечения информационной безопасности. исходя из реальной ситуации (например, методы физического и логического контроля доступа; обеспечение защиты от вредоносной программы; методы менеджмента уязвимостей и т. д.) или доступ к ним;

c)    существующие угрозы информационной безопасности, уязвимости, меры и средства контроля и управления, а также основной организационный, правовой и договорной контекст СМИБ (например, меняющиеся процессы бизнеса и взаимоотношения, технологии или законы).

Если требуются дополнительные специальные знания и/или навыки, следует рассмотреть вопрос о привлечении экспертов по информационной безопасности (например, обладающих компетентностью в конкретной области деятельности, компетентностью в области обеспечения безопасности ИТ или менеджмента непрерывности бизнеса). В случае привлечения экспертов необходимо тщательно оценить их компетентность.

Примечание - Особые требования к аудиторам в отношении сертификации СМИБ приведены в ИССУМЭК 27006

7.2.3.4    Общие знания и навыки руководителя группы по аудиту Применять руководство подпункта 7.2.3.4 ИСО 19011:2011.

7.2.3.5    Знания и навыки для аудита систем менеджмента по множеству дисциплин Применять руководство подпункта 7.2.3.5 ИСО 19011:2011.

7.2.4    Достижение требуемого уровня компетентности аудиторов

Применять руководство пункта 7.2 4 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

7.2.4    1 ИБ 7.2.4 Достижение требуемого уровня компетентности аудиторов

Аудиторы СМИБ должны обладать знаниями и навыками в области информационных технологий и информационной безопасности, подтвержденными, например, соответствующими сертификатами. а также должны быть способны понять соответствующие требования бизнеса. Опыт работы аудиторов СМИБ должен также способствовать развитию их знаний и навыков в области СМИБ

7.2.5    Руководитель группы по аудиту Применять руководство пункта 7.2.5 ИСО 19011:2011.

7.3 Определение критериев оценки аудитора

Применять руководство подраздела 7.3 ИСО 19011:2011.

7