Общие положения. Обучение, информированность и компетентность

Проверка управления СМИБ

Внутренние аудиты СМИБ

Обучение, информированность и компетентность

Организация должна гарантировать то, что весь персонал, назначенный исполнять установленные в СМИБ обязанности, достаточно компетентен, чтобы выполнять поставленные задачи, путём:

a) установления необходимого уровня компетентности персонала, выполняющего работу, влияющую на функционирование СМИБ;

b) проведения обучения или принятия других мер (например, назначение компетентного персонала), чтобы удовлетворить эти нужды;

c) оценивания эффективности предпринятых действий; и

d) ведения записей о подготовке, обучении, навыках, опыте и квалификации (см. 4.3.3).

Организация также должна убедиться в том, что все компетентные работники осознают значимость и важность своей деятельности по обеспечению информационной безопасности, и их вклада в достижение целей СМИБ.

Организация должна проводить внутренние аудиты СМИБ для того, чтобы убедиться, что задачи, средства управления, процессы и методы СМИБ:

a) удовлетворяют требованиям данного Международного Стандарта и важным законам или положениям;

b) удовлетворяют установленным требованиям информационной безопасности;

c) эффективно выполняются и поддерживаются; и

d) функционируют, как ожидалось.

Программа аудита должна быть спланирована, учтены как состояние и важность процессов и областей, подвергаемых аудиту, так и результаты предыдущих аудитов. Должны быть определены критерии аудита, масштаб, частота проведения, методики. Выбор аудиторов и проведение аудитов должны гарантировать объективность и беспристрастность процесса аудита. Аудиторы не должны ревизовать свою собственную работу.

Порядок распределения обязанностей и требования к планированию и проведению аудитов, к отчетам о результатах и ведению записей (см. 4.3.3) должны быть определены в документально оформленной процедуре.

Руководство, ответственное за подвергаемую аудиту область, должно гарантировать, что без большой задержки предпримет действия по устранению выявленных несогласованностей и их причин. Последующие ревизии должны требовать подтверждения того, что действительно были предприняты соответствующие меры, и отчёты о полученных результатах (см. 8).

ПРИМЕЧАНИЕ: МОС 19011:2002, Рекомендации по ревизованию качества и/или систем менеджмента экологии, могут быть полезными в проведении внутренних аудитов СМИБ.

Руководство должно проверять СМИБ в запланированные периоды (как минимум раз в год), чтобы убедиться в том, что она по-прежнему пригодна, адекватна и эффективна. Такая проверка должна включать оценку возможностей совершенствования и необходимости изменений в СМИБ, в т.ч. и в политике информационной безопасности и целях информационной безопасности. Результаты проверки необходимо оформить документально, и сделать записи (см. 4.3.3).

Дата добавления: 2015-04-29