Национальный стандарт РФ ГОСТ Р ИСО/МЭК 27007-2014 "Информационная технология. Методы и средства обеспечения безопасности. Руководства по аудиту систем менеджмента информационной безопасности" (утв. приказом Федерального агентства по техническому регулированию и метрологии от 11 июня 2014 г. N 563-ст)

Information technology - Security techniques - Guidelines for information security management systems auditing

Дата введения - 1 июня 2015 г.

Введен впервые

Предисловие

1 Подготовлен Федеральным государственным унитарным предприятием "Всероссийский научно-исследовательский институт стандартизации и сертификации в машиностроении" (ФГУП "ВНИИНМАШ"), Обществом с ограниченной ответственностью "Информационно-аналитический вычислительный центр" (ООО "ИАВЦ") и Обществом с ограниченной ответственностью "Научно-производственная фирма "Кристалл" (ООО "НПФ "Кристалл") на основе собственного аутентичного перевода на русский язык стандарта, указанного в пункте 4

2 Внесен Техническим комитетом по стандартизации ТК 22 "Информационные технологии"

3 Утвержден и введен в действие приказом Федерального агентства по техническому регулированию и метрологии от "11" июня 2014 г. N 563-ст

4 Настоящий стандарт идентичен международному стандарту ИСО/МЭК 27007:2011 "Информационная технология. Методы обеспечения безопасности. Руководства по аудиту систем менеджмента информационной безопасности" (ISO/IEC 27007:2011 "Information technology - Security techniques - Guidelines for information security management systems auditing")

Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5 (пункт 3.5)

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о которых приведены в дополнительном приложении ДА

5 Введен впервые

Введение

ИСО/МЭК 27007 был подготовлен совместным техническим комитетом ИСО/МЭК СТК 1, "Информационная технология", Подкомитетом ПК 27, "Методы и средства обеспечения безопасности ИТ".

Настоящий стандарт предоставляет руководство по менеджменту программы аудита системы менеджмента информационной безопасности (СМИБ) и проведению внутренних или внешних аудитов на соответствие ИСО/МЭК 27001:2005, а также руководство по вопросу компетентности и оценки аудиторов СМИБ, которое следует использовать совместно с руководством, содержащимся в ИСО 19011.

Настоящий стандарт предназначен для всех пользователей, включая малые и средние организации.

В ИСО 19011, "Руководящие указания по аудиту систем менеджмента" представлено руководство по менеджменту программ аудита, проведению внутренних или внешних аудитов систем менеджмента, а также по вопросу компетентности и оценки аудиторов систем менеджмента.

Текст настоящего стандарта соответствует структуре ИСО 19011, а дополнительное, ориентированное на СМИБ, руководство по применению ИСО 19011 для аудита СМИБ обозначается буквами "ИБ".

1 Область применения

Настоящий стандарт в дополнение к указаниям, содержащимся в ИСО 19011, предоставляет руководство по менеджменту программы аудита системы менеджмента информационной безопасности (СМИБ), по проведению аудитов и по определению компетентности аудиторов СМИБ.

Настоящий стандарт применим для тех организаций, которые нуждаются в понимании или проведении внутренних или внешних аудитов СМИБ или осуществлении менеджмента программы аудита СМИБ.

2 Нормативные ссылки

В настоящем стандарте использованы нормативные ссылки на следующие международные стандарты. Для датированных ссылок следует использовать только указанное издание. Для недатированных ссылок - последнее издание указанного документа (включая все его изменения).

ИСО 19011:2011 Руководящие указания по аудиту систем менеджмента (ISO 19011:2011, Guidelines for auditing management systems)

ИСО/МЭК 27001:2005*(1) Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Требования (ISO/IEC 27001:2005, Information technology - Security techniques - Information security management systems - Requirements)

ИСО/МЭК 27000:2009*(2) Информационная технология. Методы и средства обеспечения безопасности. Системы менеджмента информационной безопасности. Обзор и терминология (ISO/IEC 27000:2009, Information technology - Security techniques - Information security management systems - Overview and vocabulary)

Примечание - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя "Национальные стандарты" за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

3 Термины и определения

В настоящем стандарте применены термины и определения, приведенные в ИСО 19011 и ИСО/МЭК 27000.

4 Принципы проведения аудита

Применять принципы проведения аудита, приведённые в разделе 4 ИСО 19011:2011.

5 Менеджмент программы аудита

5.1 Общие положения

Применять руководство подраздела 5.1 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.1.1 ИБ 5.1 Общие положения

Должна быть разработана программа аудита*(3) СМИБ, основанная на ситуации, связанной с риском информационной безопасности проверяемой организации.

5.2 Разработка целей программы аудита

Применять руководство подраздела 5.2 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.2.1 ИБ 5.2 Разработка целей программы аудита

Цели программы (программ) аудита должны быть установлены, для того чтобы руководить планированием и проведением аудитов и обеспечивать эффективную реализацию программы аудита. Цели могут зависеть от:

a) идентифицированных требований информационной безопасности;

b) требований ИСО/МЭК 27001;

c) уровня качества функционирования проверяемой организации, который отражает случаи возникновения сбоев и инцидентов информационной безопасности и эффективность измерений;

d) рисков информационной безопасности организации, подвергающейся аудиту. Примеры целей программы аудита могут включать следующее:

1) проверку соответствия установленным правовым и договорным требованиям, а также иным требованиям и связанным с ними последствиям для безопасности;

2) достижение и поддержку уверенности в возможностях менеджмента риска проверяемой организации.

5.3 Разработка программы аудита

5.3.1 Роли и обязанности лица, осуществляющего менеджмент программы аудита

Применять руководство пункта 5.3.1 ИСО 19011:2011.

5.3.2 Компетентность лица, осуществляющего менеджмент программы аудита

Применять руководство пункта 5.3.2 ИСО 19011:2011.

5.3.3 Определение объема программы аудита

Применять руководство пункта 5.3.3 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.3.3.1 ИБ 5.3.3 Определение объема программы аудита

Объем программы аудита может меняться. Факторы, которые могут влиять на объем программы аудита:

а) масштаб СМИБ, включая:

1) общее количество сотрудников, работающих на каждом объекте, и взаимоотношения

со сторонними организациями, регулярно работающими на проверяемом объекте;

2) количество информационных систем;

3) количество объектов, охваченных СМИБ;

b) сложность СМИБ (включая количество и критичность процессов и видов деятельности);

c) значимость рисков информационной безопасности, идентифицированных для СМИБ;

d) важность информации и связанных с ней активов в области действия СМИБ;

e) сложность информационных систем, подлежащих аудиту на объекте, включая сложность использованной информационной технологии (ИТ);

f) наличие многих сходных объектов;

g) изменения сложности объектов, находящихся в области действия СМИБ.

В программе аудита следует уделить внимание установлению приоритетов на основе рисков информационной безопасности и требований бизнеса в отношении областей СМИБ, требующих более детального изучения.

Дополнительную информацию о выборке нескольких объектов можно найти в ИСО/МЭК 27006:2007*(4) и IAF MD 1:2007 [7], информация в которых относится только к сертификационным аудитам.

5.3.4 Идентификация и оценка рисков программы аудита

Применять руководство пункта 5.3.4 ИСО 19011:2011.

5.3.5 Разработка процедур по программе аудита

Применять руководство пункта 5.3.5 ИСО 19011:2011.

5.3.6 Идентификация ресурсов для программы аудита

Применять руководство пункта 5.3.6 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.3.6.1 ИБ 5.3.6 Идентификация ресурсов для программы аудита

Для всех существенных рисков, применяемых к проверяемой организации, аудиторам должно быть выделено достаточно времени для проверки эффективности соответствующих мер по уменьшению риска.

5.4 Реализация программы аудита

5.4.1 Общие положения

Применять руководство пункта 5.4.1 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.4.1.1 ИБ 5.4.1 Общие положения

В случае необходимости при реализации программы аудита должны рассматриваться требования конфиденциальности проверяемых и других заинтересованных сторон, включая возможные правовые или договорные требования.

5.4.2 Определение целей, области и критериев для каждого конкретного аудита

Применять руководство пункта 5.4.2 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.4.2.1 ИБ 5.4.2 Определение целей, области и критериев для каждого конкретного аудита

Область аудита должна отражать риски информационной безопасности, соответствующие требованиям бизнеса, и риски бизнеса проверяемой организации.

Дополнительно цели аудита могут включать следующее:

a) оценивание, достаточно ли определена область СМИБ и учтены ли все требования информационной безопасности;

b) оценивание актуальности целей СМИБ, определенных руководством; и

c) оценивание процессов поддержки и эффективного совершенствования СМИБ.

Практическая помощь - примеры критериев аудита

Ниже приведены темы, которые могут быть рассмотрены в качестве критериев аудита:

1) методика оценки риска информационной безопасности и результаты оценки и обработки риска проверяемой организации и учет ими всех соответствующих требований;

2) версия "Положения о применимости" и его связь с результатами оценки риска;

3) готовность к вводу в действие мер и средств контроля и управления для снижения риска;

4) параметры эффективности реализованных мер и средств контроля и управления и применение этих параметров, как определено для измерения эффективности мер и средств контроля и управления (см. ИСО/МЭК 27004);

5) деятельность по мониторингу и проверке процессов СМИБ и мер и средств контроля и управления;

6) внутренние аудиты и проводимые руководством проверки СМИБ и корректирующие меры, принимаемые организацией;

7) информация об адекватности и соблюдении политик, целей и процедур, принятых проверяемой организацией;

8) соответствие конкретным правовым и договорным требованиям, а также иным требованиям, важным для проверяемой организации, и их значение для информационной безопасности.

Аудиторская группа должна обеспечить уверенность, что область действия и границы СМИБ проверяемой организации четко определены с точки зрения характеристик деятельности организации, ее месторасположения, активов и технологий, включая детали и обоснование каких-либо недопущений в области действия. Аудиторская группа должна подтвердить, что проверяемая организация в области действия СМИБ учитывает требования, изложенные в пункте 1.2 ИСО/МЭК 27001:2005.

Следовательно аудиторы должны обеспечить уверенность, что оценка и обработка риска информационной безопасности проверяемой организации надлежащим образом отражают её деятельность и ограничены сферой деятельности. Аудиторы должны подтвердить, что это отражено в "Положении о применимости".

Аудиторы также должны обеспечить уверенность, что взаимодействие с услугами или видами деятельности, не полностью входящими в сферу действия СМИБ, рассматривается в рамках СМИБ и включено в оценку риска информационной безопасности проверяемой организации. Примером такой ситуации является коллективное использование средств (например, систем ИТ, баз данных и телекоммуникационных систем) вместе с другими организациями.

5.4.3 Выбор методов аудита

Применять руководство пункта 5.4.3 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.4.3.1 ИБ 5.4.3 Выбор методов аудита

В случае проведения совместного аудита особое внимание должно уделяться сообщению информации во время аудита. Соглашение об этом должно быть достигнуто со всеми заинтересованными сторонами до начала аудита.

5.4.4 Формирование группы по аудиту

Применять руководство пункта 5.4.4 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

5.4.4.1 ИБ 5.4.4 Формирование группы по аудиту

Общая компетентность аудиторской группы должна включать:

a) адекватные знания и понимание менеджмента риска информационной безопасности, являющиеся достаточными для оценки используемых проверяемой организацией методов; и

b) адекватные знания и понимание необходимости обеспечения информационной безопасности и менеджмента информационной безопасности, являющиеся достаточными для оценки комплекта мер и средств контроля и управления, а также планирования, реализации, поддержки и эффективности СМИБ.

При необходимости, следует позаботиться о том, чтобы аудиторы получили необходимый допуск к информации для получения свидетельств аудита.

5.4.5 Закрепление обязанностей по проведению конкретного аудита за руководителем аудиторской группы

Применять руководство пункта 5.4.5 ИСО 19011:2011.

5.4.6 Управление выходными данными программы аудита

Применять руководство пункта 5.4.6 ИСО 19011:2011.

5.4.7 Управление и поддержание записей программы аудита

Применять руководство пункта 5.4.7 ИСО 19011:2011.

5.5 Мониторинг программы аудита

Применять руководство подраздела 5.5 ИСО 19011:2011.

5.6 Анализ и улучшение программы аудита

Применять руководство подраздела 5.6 ИСО 19011:2011.

6 Проведение аудита

6.1 Общие положения

Применять руководство подраздела 6.1 ИСО 19011:2011.

6.2 Организация проведения аудита

6.2.1 Общие положения

Применять руководство пункта 6.2.1 ИСО 19011:2011.

6.2.2 Установление первоначального контакта с проверяемой организацией

Применять руководство пункта 6.2.2 ИСО 19011:2011.

6.2.3 Определение возможности проведения аудита

Применять руководство пункта 6.2.3 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

6.2.3.1 ИБ 6.2.3 Определение возможности проведения аудита

До начала аудита следует запросить проверяемую организацию о наличии записей СМИБ, недоступных для проверки аудиторской группой, например, содержащих конфиденциальную или критичную информацию. Лицо, отвечающее за менеджмент программы аудита, должно определить, возможно ли проведение аудита СМИБ в достаточной мере при отсутствии этих записей. Если делается вывод, что проведение аудита СМИБ в достаточной мере без анализа идентифицированных записей невозможно, ответственное лицо должно уведомить проверяемую организацию о невозможности проведения аудита, пока не будут предоставлены соответствующие права доступа или предложена альтернатива.

6.3 Подготовка к проведению аудита

6.3.1 Выполнение анализа документов при подготовке к аудиту

Применять руководство пункта 6.3.1 ИСО 19011:2011.

6.3.2 Подготовка плана аудита

Применять руководство пункта 6.3.2 ИСО 19011:2011.

6.3.3 Распределение работ между членами группы по аудиту

Применять руководство пункта 6.3.3 ИСО 19011:2011.

6.3.4 Подготовка рабочих документов

Применять руководство пункта 6.3.4 ИСО 19011:2011.

6.4 Проведение аудита

6.4.1 Общие положения

Применять руководство пункта 6.4.1 ИСО 19011:2011.

6.4.2 Проведение предварительного совещания

Применять руководство пункта 6.4.2 ИСО 19011:2011.

6.4.3 Выполнение анализа документов во время проведения аудита

Применять руководство пункта 6.4.3 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

6.4.3.1 ИБ 6.4.3 Выполнение анализа документов во время проведения аудита

Аудиторы должны проверить наличие документации и ее соответствие требованиям ИСО/МЭК 27001

Аудиторы должны подтвердить, что выбранные меры и средства контроля и управления связаны с результатом процесса оценки и обработки риска и могут быть впоследствии прослежены до политики и целей СМИБ.

Примечание - В приложении А настоящего стандарта представлено руководство по проведению аудита процессов СМИБ и документации СМИБ.

6.4.4 Обмен информацией в процессе проведения аудита

Применять руководство пункта 6.4.4 ИСО 19011:2011.

6.4.5 Роль и обязанности сопровождающих лиц и наблюдателей

Применять руководство пункта 6.4.5 ИСО 19011:2011.

6.4.6 Сбор и верификация информации

Применять руководство пункта 6.4.6 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

6.4.6.1 ИБ 6.4.6 Сбор и верификация информации

Сбор информации и свидетельств о реализации и эффективности процессов СМИБ, а также о мерах и средствах контроля и управления является важной частью аудита СМИБ. Возможные методы сбора соответствующей информации во время аудита включают:

a) проверку информационных активов и процессов СМИБ, а также мер и средств контроля и управления, реализуемых для них; и

b) использование автоматизированных инструментальных средств аудита.

Примечание - В приложении А настоящего стандарта представлено руководство по проведению аудита процессов СМИБ.

Аудиторы СМИБ должны обеспечивать надлежащее обращение со всей информацией, полученной от проверяемой организации в соответствии с соглашением между проверяемой организацией и аудиторской группой.

6.4.7 Формирование выводов аудита

Применять руководство пункта 6.4.7 ИСО 19011:2011.

6.4.8 Подготовка заключений по результатам аудита

Применять руководство пункта 6.4.8 ИСО 19011:2011.

6.4.9 Проведение заключительного совещания

Применять руководство пункта 6.4.9 ИСО 19011:2011.

6.5 Подготовка и рассылка отчета по аудиту

6.5.1 Подготовка отчета по аудиту

Применять руководство пункта 6.5.1 ИСО 19011:2011.

6.5.2 Рассылка отчета по аудиту

Применять руководство пункта 6.5.2 ИСО 19011:2011.

6.6 Завершение аудита

Применять руководство подраздела 6.6 ИСО 19011:2011.

6.7 Действия по результатам аудита

Применять руководство подраздела 6.7 ИСО 19011.

7 Компетентность и оценка аудиторов

7.1 Общие положения

Применять руководство подраздела 7.1 ИСО 19011:2011.

7.2 Определение компетентности аудитора для удовлетворения потребностей программы аудита

7.2.1 Общие положения

Применять руководство пункта 7.2.1 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

7.2.1.1 ИБ 7.2.1 Общие положения

При принятии решения об уровне владения аудитором соответствующими знаниями и навыками необходимо учитывать следующее:

a) сложность СМИБ (например, критичность информационных систем, специфика риска относительно СМИБ);

b) вид(ы) деятельности бизнеса, осуществляемой в области действия СМИБ;

c) уровень и разнообразие технологий, использованных при реализации различных компонентов СМИБ (например, реализованные меры и средства контроля и управления, контроль документации и/или процессов, корректирующие/превентивные действия и т.д.);

d) количество площадок;

e) ранее продемонстрированное функционирование СМИБ;

f) объем соглашений по аутсорсингу и с третьими сторонами, используемых в области действия СМИБ;

g) стандарты, правовые и иные требования, имеющие отношение к программе аудита.

7.2.2 Личные качества

Применять руководство пункта 7.2.2 ИСО 19011:2011.

7.2.3 Знания и навыки

7.2.3.1 Общие положения

Применять руководство подпункта 7.2.3.1 ИСО 19011:2011.

7.2.3.2 Общие знания и навыки аудиторов систем менеджмента

Применять руководство подпункта 7.2.3.2 ИСО 19011:2011.

7.2.3.3 Знания и навыки аудиторов систем менеджмента, касающиеся особенностей дисциплины и области ее применения

Применять руководство подпункта 7.2.3.3 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

7.2.3.3.1 ИБ 7.2.3.3 Знания и навыки аудиторов систем менеджмента, касающиеся дисциплины и областей ее применения

Аудиторы СМИБ должны обладать знаниями и навыками в следующих областях:

a) методы менеджмента информационной безопасности: это позволит аудитору исследовать СМИБ и сформировать соответствующие выводы аудита и рекомендации. Знания и практические навыки в этой области должны включать:

1) терминологию информационной безопасности;

2) принципы менеджмента информационной безопасности и их применение;

3) методы менеджмента риска информационной безопасности и их применение;

b) общие знания информационной технологии и методы обеспечения информационной безопасности, исходя из реальной ситуации (например, методы физического и логического контроля доступа; обеспечение защиты от вредоносной программы; методы менеджмента уязвимостей и т.д.) или доступ к ним;

c) существующие угрозы информационной безопасности, уязвимости, меры и средства контроля и управления, а также основной организационный, правовой и договорной контекст СМИБ (например, меняющиеся процессы бизнеса и взаимоотношения, технологии или законы).

Если требуются дополнительные специальные знания и/или навыки, следует рассмотреть вопрос о привлечении экспертов по информационной безопасности (например, обладающих компетентностью в конкретной области деятельности, компетентностью в области обеспечения безопасности ИТ или менеджмента непрерывности бизнеса). В случае привлечения экспертов необходимо тщательно оценить их компетентность.

Примечание - Особые требования к аудиторам в отношении сертификации СМИБ приведены в ИСО/МЭК 27006.

7.2.3.4 Общие знания и навыки руководителя группы по аудиту

Применять руководство подпункта 7.2.3.4 ИСО 19011:2011.

7.2.3.5 Знания и навыки для аудита систем менеджмента по множеству дисциплин

Применять руководство подпункта 7.2.3.5 ИСО 19011:2011.

7.2.4 Достижение требуемого уровня компетентности аудиторов

Применять руководство пункта 7.2.4 ИСО 19011:2011. Дополнительно применять приведенное ниже руководство, ориентированное на СМИБ.

7.2.4.1 ИБ 7.2.4 Достижение требуемого уровня компетентности аудиторов

Аудиторы СМИБ должны обладать знаниями и навыками в области информационных технологий и информационной безопасности, подтвержденными, например, соответствующими сертификатами, а также должны быть способны понять соответствующие требования бизнеса. Опыт работы аудиторов СМИБ должен также способствовать развитию их знаний и навыков в области СМИБ.

7.2.5 Руководитель группы по аудиту

Применять руководство пункта 7.2.5 ИСО 19011:2011.

7.3 Определение критериев оценки аудитора

Применять руководство подраздела 7.3 ИСО 19011:2011.

7.4 Выбор соответствующего метода оценки аудитора

Применять руководство подраздела 7.4 ИСО 19011:2011.

7.5 Проведение оценки аудитора

Применять руководство подраздела 7.5 ИСО 19011:2011.

7.6 Поддержание и повышение компетентности аудитора

Применять руководство подраздела 7.6 ИСО 19011:2011.

_____________________________

*(1) Отменен. Действует ИСО/МЭК 27001:2013. Для однозначного соблюдения требований настоящего стандарта, выраженных в датированных ссылках, рекомендуется использовать только указанный ссылочный стандарт.

*(2) Отменен. Действует ИСО/МЭК 27000:2014. Для однозначного соблюдения требований настоящего стандарта, выраженных в датированных ссылках, рекомендуется использовать только указанный ссылочный стандарт.

*(3) Для целей данного документа использование термина "аудит" относится к аудитам СМИБ.

*(4) Отменен. Действует ИСО/МЭК 27006:2011. Для однозначного соблюдения требований настоящего стандарта, выраженных в датированных ссылках, рекомендуется использовать только указанный ссылочный стандарт.

_____________________________

* Ссылки без указанной даты относятся к версии стандарта, приведенной в "Нормативных ссылках" или "Библиографии".

** Отменен. Действует ИСО/МЭК 27005:2011. Для однозначного соблюдения требований настоящего стандарта, выраженных в датированных ссылках, рекомендуется использовать только указанный ссылочный стандарт.

Библиография

[1]	ISO/IEC 17021:2011,	Conformity assessment - Requirements for bodies providing audit and certification of management systems
[2]	ISO/IEC 27002:2005,	Information technology - Security techniques - Code of practice for information security management
[3]	ISO/IEC 27003:2010,	Information technology - Security techniques - Information security management system implementation guidance
[4]	ISO/IEC 27004:2009,	Information technology - Security techniques - Information security management - Measurement (ИСО/МЭК 27004:2009, Информационная технология. Методы и средства обеспечения безопасности. Менеджмент информационной безопасности. Измерения)*
[5]	ISO/IEC 27005:2011,	Information technology - Security techniques - Information security risk management
[6]	ISO/IEC 27006:2007,	Information technology - Security techniques - Requirements for bodies providing audit and certification of information security management systems (ИСО/МЭК 27006:2007, Информационные технологии. Методы и средства обеспечения безопасности. Требования для органов, обеспечивающих аудит и сертификацию систем менеджмента информационной безопасности)*
[7]	IAF MD 1:2007, IAF	Mandatory Document for the Certification of Multiple Sites Based on Sampling, International Accreditation Forum

_____________________________

* Официальный перевод этого стандарта находится в Федеральном информационном фонде.