Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27006 - Coggle Diagram

- - - - a) елементи підтримки функціонування системи, якими є внутрішній аудит СМІБ. аналіз з боку керівництва, а також попереджувальні та коригувальні дії:
      - b) інформацію, що надходить від зовнішніх сторін, як це вимагається стандартом ISO / IEC 27001 і іншими документами, необхідними для сертифікації:
      - c) зміни в документально оформленою системі;
      - d) області, які слід змінити;
      - e) елементи, вибрані з ISO / IEC 27001;
      - f) при необхідності інші вибрані області
  - - - a) орган сертифікації повинен бути здатний адаптувати свою програму нагляду до проблем інформаційної безпеки, пов'язаних з погрозами активів, уразливими і впливами на організацію-клієнта, і обгрунтувати цю програму:
      - b) програма нагляду органу сертифікації повинна визначатися органом сертифікації. Конкретні дати інспекцій можуть узгоджуватися з сертифікується організацією-клієнтом:
      - c) аудити нагляду можуть об'єднуватися з аудитами інших систем менеджменту. У звітах повинні чітко вказуватися аспекти, значимі для кожної системи менеджменту;
      - d) орган сертифікації повинен бути для здійснення нагляду за належним використанням сертифіката
- - - - керівництво групою;
      - системи і процеси менеджменту, застосовні в СМІБ;
      - знання законодавчих і нормативних вимог в окремій галузі інформаційної безпеки;
      - ідентифікацію загроз інформаційній безпеці і тенденцій інцидентів;
      - ідентифікацію вразливостей організації-клієнта і розуміння ймовірності їх використання, впливу, зменшення і контролю;
      - знання засобів контролю СМІБ і їх реалізації;
      - знання аналізу результативності СМІБ і засобів контролю:
      - взаємопов'язані і / або відповідні стандарти СМІБ. кращий практичний досвід в промисловості. політики та процедур безпеки;
      - знання методів обробки інцидентів і забезпечення безперервності бізнесу;
      - знання матеріальних і нематеріальних інформаційних активів і аналіз впливу:
      - знання сучасної технології, де безпеку може бути доречною або може представляти проблему;
      - знання процесів і методів менеджменту ризиків
  - - - a) загальновизнаних кваліфікацій по СМІБ:
      - b) реєстрації в якості аудитора.
      - c) пройдених курсів підготовки по СМІБ;
      - d) останніх документів, що підтверджують факт безперервного підвищення кваліфікації;
      - e) практичної демонстрації проведення аудиту реальних систем клієнта в присутності інших аудиторів
  - - - загальну інформацію, що стосується СМІБ і здійснюваних нею дій
      - копію документації СМІБ. необхідну по ISO / IEC 27001: 2005, пункт 4.3.1
  - - - перший
        
        отримує
        
        документацію з проектування СМІБ, включаючи документацію, необхідну за ISO / IEC 27001: 2005, пункт 4.3.1.
        
        мета
        
        забезпечити концентрацію на плануванні аудиту другого етапу шляхом ознайомлення зі СМІБ організації-клієнта в контексті її політики і цілей і, особливо, стану готовності організації-клієнта до аудиту
        
        Результати повинні бути задокументовані в письмовому звіті
        
        Орган сертифікації
        
        повинен проаналізувати звіт першого етапу аудиту до винесення рішення про проведення другого етапу аудиту
        
        повинен довести до відома організацію-клієнта про додаткову інформацію та документи
      - другий
        
        цілі
        
        підтвердження, що організація-клієнт дотримується власних політики, цілей і процедур
        
        підтвердження відповідності СМІБ всім вимогам стандарту ISO / IEC 27001: 2005 та цілям політики організації-клієнта
        
        зосереджений на
        
        a) оцінки ризиків інформаційної безпеки і на те, чи дають ці оцінки зіставні і відтворювані результати;
        
        b) вимоги до документації, перерахованих в ISO / IEC 27001: 2005, пункт 4.3.1;
        
        c) виборі цілей контролю і засобів контролю, заснованих на оцінці ризику і процесах обробки ризику;
        
        d) аналізі результативності СМ І Б і вимірах результативності засобів контролю інформаційної безпеки, складанні звітів і проведення аналізу щодо цілей СМІБ;
        
        e) внутрішніх аудитів СМІБ і аналізування з боку керівництва;
        
        f) відповідальності керівництва за політику інформаційної безпеки;
        
        g) відповідно між обраними і впровадженими засобами контролю, заяві про застосування та результати оцінки ступеня ризику, процесі обробки ризику, а також політики і цілі СМІБ;
        
        h) запровадження в дію засобів контролю беручи до уваги вимірювання результативності засобів контролю організації-клієнта]. щоб визначити, чи реалізуються засоби контролю і чи ефективні вони для досягнення намічених цілей;
        
        i) програмах, процесах, процедурах, записах, внутрішніх аудитів і аналізах ефективності
    - - органи сертифікації повинні
        
        вимагати від організації-клієнта свідоцтва, що аналіз загроз, пов'язаних з інформаційною безпекою, є значимим і відповідним роботі організації-клієнта
        
        встановити, чи узгоджуються процедури організації-клієнта з ідентифікації, вивчення та оцінці загроз, пов'язаних з інформаційною безпекою активів, уразливості і впливів, і результати їх застосування з політикою, цілями і планами організації-клієнта
      - Підтримка і оцінка виконання правових і нормативних норм є обов'язком організації-клієнта
      - Організація-клієнт може комбінувати документацію СМІБ з документацією інших систем менеджменту
        
        СМІБ може бути чітко ідентифікована разом з відповідними засобами інших систем
      - Орган сертифікації може запропонувати сертифікацію іншої системи менеджменту, пов'язаної з сертифікацією СМІБ, або сертифікацію тільки СМІБ
    - - орган сертифікації повинен зажадати докладні звіти, що надають достатню інформацію для прийняття цього рішення
      - Суб'єкт, який може бути фізичною особою, що приймає рішення про дозвіл / скасування сертифікації в рамках органу сертифікації
        
        повинен мати достатній рівень знань і досвіду у всіх областях для оцінки процедур аудиту і рекомендацій аудиторської групи
      - Рішення про сертифікацію СМІБ організації-клієнта повинно прийматися органом сертифікації на основі інформації, зібраної в процесі сертифікації, і будь-який інший інформації, що відноситься до справи
      - Особи, які приймають рішення про сертифікацію, не повинні брати участь в аудиті
      - Суб'єкту, який приймає рішення про дозвіл сертифікації, зазвичай не слід спростовувати негативну рекомендацію аудиторської групи
      - Сертифікація не повинна бути дозволена організації-клієнту до тих пір. поки не буде переконливого свідчення, що заходи з аналізу менеджменту і внутрішнім аудитам СМІБ були реалізовані, є ефективними і будуть підтримуватися
- - - - a) повідомленням відповідних органів, якщо це потрібно за матеріальним становищем:
      - b) відновленню відповідності;
      - c) запобігання повторення;
      - d) оцінки та пом'якшення будь-яких несприятливих інцидентів інформаційної безпеки та пов'язаних з ними впливів;
      - e) забезпечення задовільного взаємодії з іншими компонентами СМІБ;
      - f) оцінці результативності прийнятих виправних / коригувальних заходів
- - - - загальні вимоги
        
        критерії сертифікаційного аудиту
        
        містяться в стандарті ISO / IEC 27001 по СМІБ
        
        інші документи
        
        роз'яснення
        
        надається відповідної незалежною комісією або особами, мають необхідну технічну компетентністю
        
        публікуватися органом по сертифікації
        
        політика і процедури
        
        здійснення процесу сертифікації
        
        застосування документів
        
        використанні при сертифікації систем
        
        процедури проведення аудиту та сертифікації
        
        аудиторська група
        
        призначається і забезпечується відповідними робочими документами
        
        план і даті аудиту
        
        погоджується з організацією клієнта
        
        повноваження
        
        чітко визначені
        
        доведені до організації-клієнта
        
        повинні зобов'язувати аудиторську групу перевіряти структуру, політику і процедури організації-клієнта
      - час
        
        розраховується на основі факторів
        
        масштаб області дії СМІБ
        
        кількість використовуваних інформаційних систем
        
        кількість співробітників
        
        складність СМІБ
        
        критичність інформаційних систем
        
        ситуація з ризиками СМІБ
        
        вид (и) діяльності, здійснюваної в рамках області дії СМІБ:
        
        рівень та різноманітність технології, використаної при впровадженні різних компонентів СМІБ
        
        впроваджені засоби контролю
        
        управління документацією
        
        процесами, що коректують / превентивні дії
        
        кількість об'єктів організації-клієнта;
        
        раніше продемонстроване функціонування СМІБ;
        
        обсяг аутсорсингу і угод з третіми сторонами, використаних в рамках СМІБ;
        
        стандарти і нормативні вимоги, що застосовуються до сертифікації
      - множинні об'єкти (майданчики)
        
        Задовольняють критеріям
        
        всі об'єкти працюють в рамках однієї і тієї ж СМІБ, яка управляється централізовано, перевіряється і підлягає перевірці центральним керівництвом;
        
        всі об'єкти включаються в програму внутрішнього аудиту СМІБ організації-клієнта:
        
        всі об'єкти включаються до програми перевірки СМІБ керівництвом організації-клієнта
        
        орган сертифікації забезпечую
        
        початкова перевірка договору виявляє в максимально можливій мірі різницю між об'єктами з метою визначення адекватного обсягу вибірки;
        
        орган сертифікації здійснив вибірку представницького числа об'єктів
        
        представницький зразок вибирається на всіх об'єктах в сфері дії СМІБ організації-клієнта: цей вибір повинен ґрунтуватися на суб'єктивному виборі для відображення чинників, а також елемента випадковості;
        
        кожен включений в СМІБ об'єкт, який піддається значним ризикам, перевіряється органом сертифікації до проведення сертифікації
        
        програма нагляду, розроблена на основі вищевикладених вимог, охоплює за відповідний період часу всі об'єкти організації-клієнта або об'єкти, що входять в область дії сертифікації СМІБ;
        
        при виявленні невідповідності в головному офісі або в одному з об'єктів застосовуються коригувальні дії по відношенню до головного офісу і всім, що сертифікується об'єктів
      - методологія
        
        процедури не повинні припускати
        
        особливого способу реалізації СМІБ
        
        особливого формату для документації та записів
        
        Процедури сертифікації повинні концентруватися на встановленні того, що СМІБ організації-клієнта
        
        задовольняє
        
        задовольняє вимогам стандарту
        ISO / IEC 27001
        
        політиці і цілям організації-клієнта
      - звіт з сертифікаційного аудиту
        
        процедури повинні забезпечити
        
        перед тим, як аудиторська група залишить територію організації-клієнта, проводиться зустріч аудиторської групи і керівництва організації-клієнта, в ході якої аудиторська група
        
        в письмовій або усній формі повідомляє про відповідність СМІБ організації-клієнта певним вимогам сертифікації;
        
        надає можливість представникам організації-клієнта задавати питання з приводу зроблених висновків і підстав для них
        
        звіт про результати
        
        причина аудиту, включаючи короткий виклад аналізу документів;
        
        причина сертифікаційного аудиту по аналізу ступеня ризику інформаційної безпеки організації-клієнта;
        
        загальний час, витрачений на аудит, і докладний опис часу, витраченого на аналіз документів, оцінку аналізу ризиків, аудит на містах і складання звітів про результати аудиту:
        
        питання аудиту, основна причина їх вибору і застосована методологія
        
        представлений органу сертифікації
        
        містить
        
        області, включені в аудит (наприклад, вимоги сертифікації та перевірені об'єкти), включаючи значущі контрольні записи і використані методології аудиту
        
        спостереження як позитивного , так і негативного характеру.
        
        подробиці виявлених невідповідностей, підтверджені об'єктивними даними, і посилання цих невідповідностей на відповідні вимоги стандарту ISO / IEC 27001 по СМІБ або інші документи, необхідні для сертифікації:
        
        зауваження щодо відповідності СМІБ організації-клієнта вимогам сертифікації з чітким заявою про невідповідність, посилання на версію Положення про застосування і в випадках, де це доречно, будь корисне порівняння з результатами попередніх сертифікаційних аудитів організації-клієнта
      - області дії
        
        визначення
        
        характеристики бізнесу, організації
        
        місце розташування
        
        активи
        
        технології
        
        орган сертифікації
        
        підтверджує вимоги
        
        ІСОУМЕК 27001: 2005. Пункт 1.2
        
        забезпечую
        
        обробка ризику відображає діяльність
        
        поширюються до кордонів сфери діяльності
        
        сертифікується СМІБ і включено в оцінку ризику інформаційної безпеки організації-клієнта
- - - - повинні ефективним чином коригуватися в обумовлений органом сертифікації час
    - - не проведена
        
        дія сертифіката має бути призупинено або він повинен бути скасований
- - - - вимоги ISO / IEC 17021: 2006, пункт 10.2
    - - вимоги ISO / IEC 17021: 2006. пункт 10.3
      - застосовуються такі, специфічні для СМІБ, вимоги і положення
      - ІБ Впровадження системи менеджменту інформаційної безпеки