Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/IEC 27006 p.3 - Coggle Diagram

- - - - обсяг і різноманітність технологій, використаних в реалізації різних компонентів СМІБ (такі як: впроваджені заходи управління, контроль документації та / або управління процесом, коригувальні / лредупредітельние дії, інформаційні системи, системи ІТ. мережі, наприклад, чи є вони фіксованими, мобільними, бездротовими, зовнішніми, внутрішніми);
      - кількість об'єктів в межах області дії СМІБ. наскільки вони ідентичні або різні і чи буде перевірятися вся сукупність об'єктів або вибірка з них;
      - вид (и) діяльності, здійснюваної а області дії СМІБ. вимоги безпеки, правові, регулюючі. договірні і вимоги, що стосуються цих видів діяльності;
      - обсяг аутсорсингу і заходів третьої сторони, використаних в області дії СМІБ і залежність від цих послуг;
      - чинники, що стосуються складності СМІБ (наприклад, критичність інформаційних систем, ситуація ризику СМІБ. обсяги та види оброблюваної секретної та критичної інформації, кількість і типи електронних угод, кількість і обсяг дослідно-конструкторських робіт, розмір віддаленого робочого місця, обсяг документації СМІБ);
      - раніше продемонстроване функціонування СМІБ;
      - чинники, що стосуються розміру області дії СМІБ (наприклад, кількість використаних інформаційних систем, обьем оброблюваної інформації, кількість користувачів, кількість привілейованих користувачів, кількість платформ ІТ. кількість об'єктів і їх розмір);
      - стандарти, закони та нормативи, що застосовуються до сертифікації, і специфічні для сектора вимоги, які можуть застосовуватися.
  - - - Тимчасовий об'єкт - це місце, відмінне від об'єкта / місця. ідентифікованого в документі по сертифікації. де діяльність в рамках області дії сертифікації реалізується за певний період часу.
      - Термін «час аудитора» означає час, витрачений аудитором або аудиторською групою на перший і другий етапи аудиту та планування (включаючи при необхідності зовнішню перевірку документів); узгодження з організацією-клієнтом. персоналом, записами, документацією і процесом; написання звіту.
        
        Зразками факторів, які вимагають додаткового часу аудитора, можуть бути:
        
        висока ступінь регулювання
        
        СМІБ охоплює дуже складні процеси або відносно велика кількість видів діяльності, або унікальну в своєму роді діяльність;
        
        штат, що говорить на декількох мовах (знадобиться перекладач (і) або запобігання незалежної роботи окремих аудиторів);
        
        процедури, що передбачають використання комбінації апаратних засобів, програмного забезпечення процесів та послуг;
        
        складне матеріально-технічне забезпечення, що включає більше однієї будівлі або приміщення в області дії СМІБ;
        
        дії, що вимагають інспекції тимчасових об'єктів для підтвердження правильності дії постійного об'єкта (ів). чия система менеджменту підлягає сертифікації
        
        Прикладами факторів, що дозволяють скорочувати час аудитора, можуть бути:
        
        готовність організації-клієнта до сертифікації (наприклад, вже сертифікованої або визнаної за іншою схемою третьої сторони);
        
        процеси, що використовують один загальний вии діяльності (наприклад, тільки надання послуг).
        
        апріорне знання організації-клієнта {наприклад, якщо організація-клієнт вже сертифікувалася по іншому стандарту тим же органом сертифікації);
        
        зрілість системи менеджменту;
        
        процесси / продукти з низьким ступенем ризику;
        
        високий відсоток співробітників, що виконують аналогічні прості завдання.
      - Термін «співробітники», що згадується в таблиці часу аудитора, відноситься до всіх осіб, чия робоча діяльність має відношення до області дії СМІБ. Загальна кількість співробітників всіх змін є відправною точкою для визначення тривалості аудиту.
- - - - про громадян (наприклад, здоров'я, доходи, податки, документи і т.д.;
      - якою оперують урядові постачальники і виробники, така як проекти ІКТ.
      - для електронного уряду:
      - для громадськості;
      - обладнання, продукти, послуги і т.д.
    - - корпоративне управління - перераховані компанії (можливо, також інші великі економічні об'єкти).
    - - будь-яка інша особисто ідентифікується інформація;
      - будь-яка інша комерційно секретна / важлива інформація, така як науково-дослідних, дослідно-. подробиці про організацію-клієнта, фінансові результати і прогнози, бізнес-плани, права на інтелектуальну власність, виробничі процеси і т.д.
      - зарплати, пенсії, здоров'я і безпеку, документи організації-клієнта, внутрішня і міжвідомча інформація, і т.д .;
    - - авіакосмічна промисловість;
      - телекомунікації;
      - освіта;
      - фінансові послуги;
      - охорона здоров'я;
      - благодійні установи і некомерційні організації.
- - - - Таблиця В.1 - Заходи управління в ній викладені типові питання проведення аудиту СМІБ.
    - - Аудитори повинні знати і розуміти такі процеси проведення аудиту та об'єкти СМІБ:
        
        проведення внутрішнього аудиту інформаційної безпеки.
        
        цикл Демінга (РDСА) для постійного вдосконалення;
        
        аналіз процесів інформаційної безпеки;
        
        аудиторський ризик;
        
        тип і методологія аудиту СМІБ;
        
        програмування і планування аудиту СМІБ;
      - Аудитори повинні знати і розуміти такі вимоги менеджменту:
        
        ризики безпеки аутсорсингу ICT;
        
        ризики інформаційної безпеки для ланцюжка поставок.
        
        обробка ризиків інформаційної безпеки;
      - Аудитори повинні знати і розуміти такі регулятивні вимоги:
        
        попередження тероризму;
        
        електронна комерція;
        
        регулювання криптографічних засобів контролю;
        
        електронні та цифрові підписи;
        
        захист даних і конфіденційність;
        
        інспекція робочих місць;
        
        зміст, захист і збереження документів організації-клієнта;
        
        перехоплення в телекомунікаціях і моніторинг даних (наприклад, електронна пошта);
        
        інтелектуальна власність;
        
        зловживання комп'ютером;
        
        збір електронних даних;
        
        випробування на проникнення;
        
        міжнародні та національні, конкретні для сектора, вимоги (наприклад, банківська справа).
- - - - «Випробування системи» означає пряму перевірку систем (наприклад, перевірка параметрів настроювання системи або конфігурації). Відповіді на питання аудиторів можна отримати на пульті управління системи, або вони можуть міститися в оцінці результатів тестування інструментальних засобів.
    - - «Візуальна перевірка» означає, що зазвичай засоби контролю для оцінки їх ефективності вимагають візуального огляду на місці. Це означає, що недостатньо перевірити відповідну документацію на папері або за допомогою опитувань - аудитор повинен перевірити цей засіб контролю на місці його експлуатації.
    - - «X» у відповідній колонці показує, чи є контроль організаційним або технічним. Так як деякі засоби контролю є як організаційними, так і технічними, для таких засобів контролю ставляться відмітки в обох колонках.
        Свідоцтва функціонування організаційних засобів контролю можуть збиратися за допомогою аналізу записів про функціонування засобів контролю, опитувань, спостереження і фізичного огляду.
    - - У колонці «Вказівки щодо аналізу аудиту» представлені можливі області підвищеної уваги для оцінки класифікуємого заходу управління в якості подальшого керівництва для аудитора.