ЗАНЯТИЕ 5 » История » Редакция 4
Редакция 3 (С. Антошкин, 17.05.2025 11:59) → Редакция 4/5 (С. Антошкин, 17.05.2025 12:04)
h1. ЗАНЯТИЕ 5
_*Стадия 1 Сертификационного аудита*_
h2. Цели занятия
К концу занятия вы усвоите:
* Цель и задачи Стадии 1 Сертификационного аудита
* Содержание Стадии 1 Сертификационного аудита, связанные критерии ISO/IEC27001
* Типовые документы, рассматриваемые в рамках Стадии 1 Сертификационного аудита
* Возможные результаты Стадии 1 Сертификационного аудита
h2. Вопросы для размышления
Стадия 1 Сертификационного аудита представляет собой краткий *предварительный анализ*
* Задачей стадии не является рассмотреть все вопросы аудита
* Стадию часто называют «настольной» и проводят вне площадок клиента, но также возможно проведение на территории проверяемой организации
* Цель является подтверждение, что система располагает необходимой документированной информацией и внедрена;
*В чем смысл деления процесса на две стадии?*
Какую документированную информацию (документы/записи) следует изучить во время предварительной «настольной» стадии?
Каковы потенциальные результаты Стадии 1 Сертификационного аудита?
h2. Упражнение 7
*Проведение Стадии 1 Сертификационного аудита*
*_Задание:_*
Сформируйте решение в соответствии с инструкциями:
{{collapse(Задание)
Вы член команды аудиторов, которые работают на аккредитованный независимый орган по сертификации. Вы получили заявку на аудит международной полиграфической компании – Типографии «Альфа&Бетта». Компания была создана недавно путем слияния двух компаний (Альфа и Бета) в одну. Обе компании предоставляли полиграфические услуги, хотя тип печати был разным. Предлагаемые услуги в целом, следующие: офсетная печать, печать шаблонов форм, печать книг и газет, печать различных данных, включая печать конфиденциальных и чувствительных данных.
Новая компания только недавно создала свою систему менеджмента в соответствии с ISO/IEC 27001 для покрытия области спектра услуг, упомянутых выше, несмотря на то, что обе компании (Альфа и Бета), из которых была создана новая, ранее внедрили различные процедуры и политики во время своей операционной деятельности.
Учитывая обстоятельства, компания планирует ISO/IEC 27001 сертификацию по следующим причинам:
- Два значимых банка-клиента организации теперь требуют сертификат для продолжения контракта на полиграфические услуги;
- Осведомлены о том, что наличие соответствующего сертификата повысит их шансы на получение контрактов в государственном секторе;
- Созданная компания желает подтвердить, что объединение несет в себе все знания и опыт двух предшествующих компаний.
Компания создала проект еще до официального слияния компаний и под руководством консультанта привела в соответствие все необходимые системы для прохождения сертификации. Теперь они считают, что готовы и представили верхне-уровневые документы СМИБ для рассмотрения на Стадии 1 Сертификационного аудита.
В раздаточном материале есть учебный пример содержащую документированную информацию компании Альфа&Betta. Учтите, что это не единственная документированная информация, которой обладает компания, но информация позволяющая подготовиться к проведению Стадии 1 Сертификационного аудита. Вы должны оценить документированную информацию Типографии «Альфа&Бетта» и решить:
* Является ли заявленная область СМИБ достаточной и подходящей;
* Рассмотрены ли в документированной информации должным образом требования ISO/IEC 27001 относительно контекста, внутренних и внешних факторов, а также рисков;
* Достаточны ли политика и цели ИБ;
* Какую дополнительную документированную информацию (документы и записи) вы запросите в течении Стации 1 Сертификационного аудита, позволяющую вам полноценно оценить ситуацию и принять решения относительно перехода к Стадии 2 Сертификационного аудита.
"AB Intro Info":https://wiki.tescar.ru/attachments/1164
"AB Information Security_Policy":https://wiki.tescar.ru/attachments/1165
"AB Printig SoA":https://wiki.tescar.ru/attachments/1166
"AB Risk_Management Process":https://wiki.tescar.ru/attachments/1167
"AB Annual_Audit Plan":https://wiki.tescar.ru/attachments/1168
"AB Assignment of Internal_Auditors":https://wiki.tescar.ru/attachments/1169
"AB Audit Plan":https://wiki.tescar.ru/attachments/1170
}}
*_Продолжительность_*
* 1 час – подготовка презентации в малой группе;
* 10 минут – демонстрация презентации.
h2. Обязательная документированная информация
В ISO/IEC 27001 имеется несколько явных ссылок на документированную информацию. Тем не менее, организация может поддерживать дополнительную документированную информацию, которую она считает необходимой для результативной обеспечения своей системы менеджмента.
*Область действия* , [пункт 4.3]–Область действия должна быть доступна в виде документированной информации.
*Политика* , [пункт 5.2]–Политика информационной безопасности должна быть
е) доступна в виде документированной информации;
В различных этапах управления рисками, [Раздел 6]:
* Пункт 6.1.2 –Организация должна хранить документированную информацию о *процессе оценки рисков информационной безопасности* ;
* Пункт 6.1.3 –Организация должна хранить документированную информацию о *процессе обработки рисков информационной безопасности* ;
* Пункт 6.1.3 –создать Заявление о применимости.
*Цели информационной безопасности*, [пункт 6.2] –Организация должна хранить документированную информацию о целях информационной безопасности.
*Компетенции* [пункт 7.2] – Организация должна d) хранить соответствующую документированную информацию в качестве свидетельства компетентности.
*Документированная информация внешнего происхождения, необходимая для СМИБ* [пункт 7.5.3] – Документированная информация внешнего происхождения, определенная организацией как необходимая для планирования и функционирования системы менеджмента информационной безопасности, должна быть надлежащим образом определена и управляться
*Результаты мониторинга и измерений, анализа и оценки* , [пункт 9.1] Организация должна хранить соответствующую документально оформленную информацию в качестве свидетельства результатов.
*Программа и результаты аудита*, [пункт 9.2] – хранить документально оформленную информацию в качестве свидетельств внедрения программ и результатов аудитов
*Результаты анализа со стороны высшего руководства*, [пункт 9.3] Организация должна хранить документально оформленную информацию в качестве свидетельства результатов анализа со стороны руководства Несоответствия и корректирующие действия [пункт 10.2] – Организация должна хранить документально оформленную информацию в качестве свидетельства:
* f) природа несоответствий и последующих предпринятых
действий, и
* g) результатов корректирующих действий.
h2. Иная документированная информация
Примерами документированной информации, которая может быть определена организацией как необходимая для обеспечения результативности ее СМИБ, являются:
* результаты установления контекста (Раздел 4);
* роли, ответственность и полномочия (Раздел 5);
* отчеты о различных этапах управления рисками (Раздел 6);
* ресурсы определены и предоставлены (пункт 7.1);
* ожидаемая компетентность (пункт 7.2);
* планы и результаты мероприятий по повышению осведомленности (пункт 7.3);
* планы и результаты коммуникации (пункт 7.4)
* Процесс управления документированной информацией (раздел 7.5.3);
* Политики, правила и директивы для координации и операционной деятельности по обеспечению информационной безопасности (Приложение А);
* Процессы и процедуры, используемые для внедрения, обслуживания и улучшения СМИБ и состояния информационной безопасности в целом (раздел 9);
* Планы действий, а также свидетельство результатов процессов СМИБ (например, управление инцидентами, контроль доступа, непрерывность информационной безопасности, техническое обслуживание оборудования и т. д.).
h2. Ключевые положения пройденного занятия
Стадия 1 Сертификационного аудита, часто называется –«проверкой готовности»;
Устанавливается, достаточность требуемой документированной информации и существование системы:
* Наличие планов, политик и процедур верхнего уровня;
* Записи о реализации
При отсутствии значительных несоответствий, делается вывод по переходе и проведении Стадии 2 Сертификационного аудита;
Работа органов по сертификации оценивается по стандартам:
* ISO/IEC17021 и ISO /IEC27006.