Please enable JavaScript.

Coggle requires JavaScript to display documents.

ISO/ІЕС 27006 «Інформаційні технології. Методики безпеки. Вимоги до…

- - - - Особливі випадки
        
        Дії з нагляду повинні проводитися за спеціальним положенням в разі здійснення організацією-клієнтом з сертифікованої СМІБ суттєвої модифікації своєї системи або внесення змін, які можуть зачіпати основу її сертифікації.
  - - - Аудити повторної сертифікації
        
        Як викладено в цьому стандарті, процедури аудитів повторної сертифікації повинні узгоджуватися з процедурами, що відносяться до сертифікаційного аудиту СМІБ організації-клієнта.
        
        Органи сертифікації повинні мати строго певні процедури, які стверджують обставини і умови, при яких підтримується сертифікація. Якщо під час нагляду або повторних сертифікаційних аудитів виявляються невідповідності, то вони повинні ефективним чином коригуватися в обумовлений органом сертифікації час. Якщо корекція не була проведена в узгоджений термін, область дії сертифікації повинна бути скорочена, дія сертифіката має бути призупинено або він повинен бути скасований. Період часу, необхідний для усунення невідповідності, повинен відповідати його серйозності і ризику довіри до продуктів і послуг організації-клієнта.
  - - - Аудити нагляду
        
        Процедури аудиту нагляду повинні узгоджуватися з процедурами, що відносяться до сертифікаційного аудиту СМІБ організації-клієнта, як визначено в цьому стандарті.
        Метою нагляду є підтвердження продовження реалізації затвердженої СМІБ, розгляд передумов для змін у цій системі, ініційованих в результаті змін в роботі організації-клієнта, і підтвердження постійного відповідності вимогам сертифікації.
        
        При нагляді з боку органу сертифікації підлягають аналізу, як мінімум, наступні фактори:
        
        a) результативність СМІБ щодо досягнення цілей політики інформаційної безпеки організації-клієнта;
        
        b) функціонування процедур періодичної оцінки і перевірки відповідності правовим і нормативним вимогам, пов'язаним з інформаційною безпекою;
        
        c) заходи, вжиті стосовно невідповідностей, виявлених під час останнього аудиту.
        
        Нагляд, здійснюваний органом сертифікації, повинен щонайменше виконуватися відповідно до пунктів, передбаченими ISO / IEC 17021. При цьому враховується наступне:
        
        a) орган сертифікації повинен бути здатний адаптувати свою програму нагляду до проблем інформаційної безпеки, пов'язаних з погрозами активів, уразливими і впливами на організацію-клієнта, і обгрунтувати цю програму:
        
        b) програма нагляду органу сертифікації повинна визначатися органом сертифікації. Конкретні дати інспекцій можуть узгоджуватися з сертифікується організацією-клієнтом:
        
        c) аудити нагляду можуть об'єднуватися з аудитами інших систем менеджменту. У звітах повинні чітко вказуватися аспекти, значимі для кожної системи менеджменту;
        
        d) орган сертифікації повинен бути для здійснення нагляду за належним використанням сертифіката.
  - - - Скарги є джерелом інформації про можливе невідповідність. орган сертифікації повинен зажадати від сертифікованої організації-клієнта, щоб при отриманні скарги сертифікована організація-клієнт встановила і, при необхідності, повідомила причину скарги, включаючи будь-які спричиняють (або сприятливі) фактори в рамках СМІБ організації-клієнта.
  - - - Початковий сертифікаційний аудит
        
        Перший етап аудиту
        
        На цьому етапі аудиту орган сертифікації повинен отримати документацію з проектування СМІБ, включаючи документацію, необхідну за ISO / IEC 27001: 2005, пункт 4.3.1.
        
        Другий етап аудиту
        
        Другий етап аудиту завжди проводиться на об'єктах організації-клієнта. На основі отриманих даних, відображених у звіті про результати першого етапу аудиту, орган сертифікації намічає план проведення другого етапу аудиту.
      - Інформація для рішення первісної сертифікації
        
        Для прийняття рішення про сертифікацію орган сертифікації повинен зажадати докладні звіти, що надають достатню інформацію для прийняття цього рішення. На різних етапах процесу сертифікаційного аудиту органу сертифікації потрібні звіти аудиторських груп. В поєднанні з інформацією, що зберігається в файлі, ці звіти повинні містити, принаймні, інформацію, необхідну в ІБ 9.1.6.
      - Загальна підготовка до первісного аудиту
        
        Орган сертифікації повинен вимагати від організації-клієнта зробити всі необхідні приготування до проведення сертифікаційного аудиту, включаючи приготування для вивчення документації і доступ до всіх областей, документам (включаючи звіти про внутрішній аудит і звіти про незалежних перевірках інформаційної безпеки) і персоналу з метою сертифікаційного аудиту, аудиту повторної сертифікації та задоволення скарг.
      - Рішення про сертифікацію
        
        Суб'єкт, який може бути фізичною особою, що приймає рішення про дозвіл / скасування сертифікації в рамках органу сертифікації, повинен мати достатній рівень знань і досвіду у всіх областях для оцінки процедур аудиту і рекомендацій аудиторської групи.
      - Компетентність аудиторської групи
        
        Демонстрація компетентності аудиторів
  - - - Час аудиту
        
        Органи сертифікації повинні надавати аудиторам достатній час для здійснення всіх дій, пов'язаних з початковим аудитом, наглядовим або аудитом повторної сертифікації.
      - Множинні об'єкти
        
        Рішення по вибірці об'єктів в області сертифікації СМІБ є більш складними, ніж ті ж самі рішення в системах менеджменту якості. Там, де організація-клієнт має кількість об'єктів сертифікації, яке задовольняє критеріям від а) до с), наведеним нижче, органи сертифікації можуть використовувати заснований на вибірці підхід до сертифікаційного аудиту численних об'єктів:
        
        Орган сертифікації, який бажає використовувати підхід, заснований на вибірці, повинен виконувати процедури
      - Область дії сертифікації
        
        Аудиторська група повинна перевірити СМІБ організації-клієнта, що входить в задану область дії. На відповідність всім застосовуваним вимогам сертифікації. Орган сертифікації повинен забезпечити чітке визначення області дії і кордони СМІБ організації-клієнта на основі характеристик бізнесу, організації, її місця розташування, активів і технології. Орган сертифікації повинен підтвердити, що в області дії СМІБ організації-клієнти виконують вимоги. Викладені в ІСОУМЕК 27001: 2005. Пункт 1.2.
      - Методологія аудиту
        
        Орган сертифікації повинен мати процедури, що дозволяють вимагати від організації-клієнта здатності продемонструвати, що внутрішні аудити СМІБ сплановані, а програма та процедури їх проведення є чинними.
      - Загальні вимоги до аудиту СМІБ
        
        Аудиторська група
        
        Аудиторська група повинна офіційно призначатися і забезпечуватися відповідними робочими документами. План і дата аудиту повинні бути погоджені з організацією-клієнтом. Повноваження. дані аудиторської групи, повинні бути чітко визначені, доведені до організації-клієнта і повинні зобов'язувати аудиторську групу перевіряти структуру, політику і процедури організації-клієнта. підтверджувати їх [структури, політику і процедури] відповідність усім вимогам, які належать до області дії сертифікації, а також, що зазначені процедури виконуються і можна бути впевненим в ефективності СМІБ організації-клієнта.
        
        Критерії сертифікаційного аудиту
        
        Аудит СМІБ організації-клієнта повинен здійснюватися на основі критеріїв, що містяться в стандарті ISO / IEC 27001 по СМІБ. а також в інших документах, необхідних для проведення сертифікації конкретних виконуваних функцій. Якщо потрібно роз'яснення щодо застосування цих документів до конкретної програми сертифікації, то подібне роз'яснення повинно даватися відповідної незалежною комісією або особами, мають необхідну технічну компетентністю, і публікуватися органом по сертифікації.
        
        Політика і процедури
        
        Документація органу сертифікації повинна включати політику та процедури здійснення процесу сертифікації, включаючи перевірки застосування документів, використаних при сертифікації систем СМІБ. а також процедури проведення аудиту та сертифікації СМІБ організації клієнта.
      - Звіт з сертифікаційного аудиту
- - - - 10.3.1 ІБ Впровадження системи менеджменту інформаційної безпеки
        
        Рекомендується, щоб органи сертифікації впроваджували СМІБ відповідно до ISO / IEC 27001: 2005.