1. აუდიტის დასკვნა გაცემული უნდა იქნეს განსაზღვრულ დროში. თუ დასკვნის გაცემა განსაზღვრულ დროში ვერ ხერხდება, აღნიშნულის შესახებ უნდა ეცნობოს აუდიტის ობიექტს.
2. აუდიტის დასკვნა უნდა გაეგზავნოს ყველა დაინტერესებულ მხარეს, რომელიც განისაზღვრება კანონმდებლობით ან აუდიტის გეგმით. აუდიტის დასკვნის გაზიარებისას დაცული უნდა იქნეს კონფიდენციალობის მოთხოვნები.
დანართი №1
ინფორმაციული უსაფრთხოების მართვის სისტემის აუდიტის სახელმძღვანელო მითითება
1. სახელმძღვანელო მითითების მიზანი
ინფორმაციული უსაფრთხოების მართვის სისტემის აუდიტის სახელმძღვანელო მითითება წარმოადგენს პრაქტიკულ სახელმძღვანელოს ინფორმაციული უსაფრთხოების მართვის სისტემის აუდიტის პროცესისთვის.
2. ზოგადი დებულებები
2.1. აუდიტის მიზნები, ფარგლები, კრიტერიუმები და მტკიცებულებები
აუდიტის განხორციელებისას ინფორმაცია, რომელიც რელევანტურია აუდიტის მიზნებისთვის, ფარგლებისთვის და კრიტერიუმებისთვის, მათ შორის ასევე ინფორმაცია ფუნქციების, აქტივობების და პროცესების ურთიერთკავშირების შესახებ მოპოვებული უნდა იქნეს სათანადო მაგალითების შეკრებით და უნდა იქნეს შემოწმებული. მხოლოდ ინფორმაცია, რომელიც ექვემდებარება შემოწმებას უნდა იქნეს მიღებული როგორც აუდიტორული მტკიცებულება. აუდიტორული მტკიცებულება, რომლიდანაც გამომდინარეობს აუდიტორული დასკვნები უნდა იქნეს დოკუმენტურად დაფიქსირებული.
ინფორმაციის მოპოვების მეთოდებია:
- ინტერვიუები;
- დაკვირვება;
- დოკუმენტაციის, მათ შორის ჩანაწერების შესწავლა.
2.2. აუდიტი და დოკუმენტირებული ინფორმაცია
აუდიტმა შესაძლოა მოიცვას დოკუმენტირებული ინფორმაცია, კერძოდ:
ა) დოკუმენტაციასთან დაკავშირებული მოთხოვნები, რომლებსაც ითვალისწინებს ოტს 27001:2021-ი შესაძლოა გამოყენებულ იქნეს როგორც აუდიტის კრიტერიუმი;
ბ) ოტს 27001:2021-ის 3.5.5.1. „ა“ ქვეპუნქტით გათვალისწინებული დოკუმენტირებული ინფორმაცია;
გ) დოკუმენტირებული ინფორმაცია, რომელიც ორგანიზაციის მიერ განისაზღვრება როგორც საჭირო იუმს-ის ეფექტიანობისთვის (ოტს 27001:2021, 3.5.5.1. ბ)).
3. ოტს 27001-ით გათვალისწინებული დოკუმენტირებული ინფორმაციის მოთხოვნები
3.1. დასაბუთება
აუდიტორებმა უნდა გამოიჩინონ ყურადღება დოკუმენტირებული ინფორმაციის, როგორც შესაბამისობის მტკიცებულების მოთხოვნის დროს.
არსებობს დოკუმენტირებულ ინფორმაციასთან, მათ შორის გამოყენებადობის განაცხადთან დაკავშირებული თექვსმეტი მოთხოვა, რომლებიც გათვალისწინებულია ცხრილი №1-ით. დანარჩენი მოთხოვნები არის მოთხოვნები, რომლებისთვისაც:
- არსებობს გონივრული მოლოდინი, რომ შესაბამისი მტკიცებულებები მოპოვებული იქნება ზემოაღნიშნულ დოკუმენტირებულ ინფორმაციაში;
- არ არსებობს დოკუმენტირებული ინფორმაციის არსებობის პირდაპირი ან ნაგულისხმები მოთხოვნა.
ცხრილი №1 – ოტს 27001:2021-ის დოკუმენტირებული ინფორმაციის მოთხოვნები
დოკუმენტირებული ინფორმაციის მოთხოვნები შემდეგ საკითხებზე
იუმს-ის გავრცელების ფარგლები
3.2.3.
ინფორმაციული უსაფრთხოების პოლიტიკა
3.3.2.
ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესი
3.4.1.2
ინფორმაციული უსაფრთხოების რისკების მოპყრობის პროცესი
3.4.1.3.
გამოყენებადობის განაცხადი
3.4.1.3. დ)
ინფორმაციული უსაფრთხოების მიზნები
3.4.2.
კომპეტენციის მტკიცებულებები
3.5.2. დ)
დოკუმენტირებული ინფორმაცია, რომელიც ორგანიზაციის მიერ განისაზღვრება როგორც მნიშვნელოვანი იუმს-ის ეფექტიანობისთვის
3.5.5.1. ბ)
ოპერაციული დაგეგმა და კონტროლი
3.6.1.
ინფორმაციული უსაფრთხოების რისკების შეფასების შედეგები
3.6.2.
ინფორმაციული უსაფრთხოების რისკების მოპყრობის შედეგები
3.6.3.
მონიტორინგისა და გაზომვის შედეგების მტკიცებულებები
3.7.1.
აუდიტის პროგრამების და აუდიტის შედეგების მტკიცებულებები
3.7.2. ე)
მენეჯმენტის მიერ გადახედვის შედეგების მტკიცებულებები
3.7.3
შეუსაბამობის ბუნების მტკიცებულებები და სათანადო ქმედებები
3.8.1.
მაკორექტირებელი ქმედებების შედეგების მტკიცებულებები
3.8.1
შენიშვნა: აუდიტი არსობრივად წარმოადგენს დოკუმენტირებულ პროცესს და ამგვარად, აუდიტორს შეუძლია ჰქონდეს მოლოდინი, რომ ოტს 27001:2021, 3.7.2 ქვეპუნქტით გათვალისწინებული მოთხოვნის შესაბამისად შიდა აუდიტის პროცესი იქნება დოკუმენტირებული.
3.2. დოკუმენტირებული ინფორმაციის გონივრული მოლოდინი
დოკუმენტირებული ინფორმაციის ნაგულისხმევი მოთხოვნის მაგალითად შესაძლოა მოყვანილ იქნეს ოტს 27001:2021-ს 3.4.1.2 ქვეპუნქტი, რომელიც მოითხოვს ორგანიზაციებისგან შეინახონ ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესის დოკუმენტირებული ინფორმაცია. ამ ქვეპუნქტის „ა-ე“ ქვეპუნქტების მოთხოვნები შეეხება ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესს. შესაბამისად, გონივრული ვარაუდი, რომ ამ მოთხოვნებთან შესაბამისობის მტკიცებულებები მოძიებული იქნება რისკების შეფასების პროცესის დოკუმენტირებულ ინფორმაციაში.
3.3. შემთხვევები, როდესაც არ არის დოკუმენტირებული ინფორმაციის არსებობის პირდაპირი ან ნაგულისხმევი მოთხოვნა
მაგალითისთვის შესაძლოა მოყვანილ იქნეს ოტს 27001:2021-ის 3.2.1. ქვეპუნქტი, რომელიც არ ითვალისწინებს გარე და შიდა საკითხების შესახებ დოკუმენტირებული ინფორმაციის მოთხოვნას. შესაბამისად, აუდიტორმა არ უნდა მოითხოვოს მათი წარმოდგენა. მიუხედავად ამისა, ორგანიზაციის უუნარობა დაამტკიცოს მის მიერ აღნიშნული საკითხების განხილვა, იქნება შეუსაბამო ოტს 27001:2021-ს მოთხოვნებთან. თუმცა, ორგანიზაციის გადასაწყვეტია ის, თუ როგორ მოახდენს ამ შესაბამისობის დემონსტრირებას. აღნიშნულის თაობაზე შესაძლოა მენეჯმენტმა წარმოადგინოს ახსნა-განმარტება, ან აღნიშნული საკითხის განხილვის შესახებ აღნიშნული იყოს რომელიმე საოქმო ჩანაწერში. აღნიშნულის შესახებ მტკიცებულებები ასევე შესაძლოა მოცემული იყოს სხვადასხვა ადგილზე იუმს-ის დოკუმენტირებულ ინფორმაციაში. მაგალითად, 3.2.1 ქვეპუნქტის მიზანია ხელი შეუწყოს ორგანიზაციებს იუმს-ის კონტექსტის განსაზღვრაში. ეს კონტექსტი სრულად პრევალირებს იუმს-ზე, განსაკუთრებით ფარგლების და პოლიტიკის განსაზღვრის და რისკების შეფასების და რისკების მოპყრობის პროცესების დროს. თუ ორგანიზაციას შესრულებული აქვს ოტს 27001:2021-ის 3.2.1. ქვეპუნქტის მოთხოვნები, სავარაუდოა რომ მან გაითვალისწინა ინფორმაცია გარე და შიდა საფრთხეების შესახებ იუმს-ის ამ საკითხების განხილვის/აღსრულების დროს და შესაბამისად იგი სავარაუდოდ ასახული იქნება მათთან დაკავშირებულ დოკუმენტირებულ ინფორმაციაში.
4. გამოყენებადობის განაცხადი
გამოყენებადობის განაცხადი უნდა შეიცავდეს ყველა საჭირო კონტროლს, მაგალითად, კონტროლებს, რომლებიც ორგანიზაციას აქვს, კონტროლებს, რომლებიც რისკების შეფასების შედეგად განისაზღვრა როგორც საჭირო ინფორმაციული უსაფრთხოების რისკების მოდიფიცირებისთვის რისკის დასაშვებობის კრიტერიუმის დასაკმაყოფილებლად.
კონტროლების ნუსხა განისაზღვრება ოტს 27002:2021-ით, თუმცა ისინი არ არის სავალდებულო და ამომწურავი. შესაძლოა არსებობდეს კონტროლები სხვა სტანდარტებიდან ან სხვა წყაროებიდან, ან ისინი სპეციალურად იქნეს შემუშავებული ორგანიზაციის მიერ.
ზოგიერთ შემთხვევაში ორგანიზაცია იყენებს კონტროლს, რომლიც წარმოადგენს ოტს 27002:2021-ით გათვალისწინებული კონტროლის ვარიაციას და ამგვარად არ ითვალისწინებდეს ოტს 27002:2021-ით გათვალისწინებულ ორიგინალ კონტროლს.
აუდიტორებმა უნდა შეამოწმონ ორგანიზაციის მიერ განსაზღვრული საჭირო კონტროლების ორგანიზაციის მიერ განსაზღვრულ სპეციფიკაციებთან შესაბამისობა და არა ოტს 27002:2021-ში მოცემულ სპეციფიკაციებთან შესაბამისობა. თუ ორგანიზაციის სპეციფიკაცია მოითხოვს დოკუმენტირებულ პროცედურას, მაშინ აღნიშნული შესაბამისობაში იქნება ოტს 27001:2021-ის 3.5.5.1. „ბ“ ქვეპუნქტით განსაზღვრულ მოთხოვნასთან. თუ არა – აუდიტორებმა არ უნდა მოთხოვონ მისი დემონსტრირება.
კონტროლების შერჩევის აუდიტის დროს უმჯობესია აუდიტის განხორციელება რისკების მოპყრობის გეგმასთან მიმართებაში და არა გამოყენებადობის განაცხადით გათვალისწინებული ინდივიდუალური საჭირო კონტროლების შემოწმება. აღნიშნული განპირობებულია გარემოებით, რომ რისკებთან მოპყრობის გეგმა სავარაუდოდ გაითვალისწინებს ურთიერთდამოკიდებულებას და ინტერაქციას სხვადასხვა კონტროლებს შორის, რაც შესაძლოა გამოტოვებულ იქნეს გამოყენებადობის განაცხადით გათვალისწინებული კონტროლების დამოუკიდებლად შემოწმების დროს.
5. სხვა დოკუმენტირებული ინფორმაცია
ოტს 27001:2021 ფოკუსირებულია შედეგებზე. დოკუმენტირებული ინფორმაცის თექვსმეტი სავალდებულო მოთხოვნიდან მხოლოდ სამი შეეხება სპეციფიკაციებს (ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესი, ინფორმაციული უსაფრთხოების რისკების მოპყრობის პროცესი და აუდიტის პროგრამა). თუმცა ეს ხელს არ უშლის ორგანიზაციას იქონიოს დოკუმენტირებული პროცედურები. ამგვარი დამხმარე დოკუმენტაცია ხვდება ოტს 27001:2021 3.5.5.1 „ბ“ ქვეპუნქტის მოქმედების ფარგლებში (დოკუმენტირებული ინფორმაცია, რომელსაც ორგანიზაცია მიიჩნევს საჭიროდ იუმს-ის ეფექტიანობისთვის). ამგვარად, აღნიშნული ხდება ორგანიზაციის მოთხოვნა და შესაბამისად უნდა მოხვდეს აუდიტის ფარგლებში.
6. შენიშვნა
მოთხოვნილი ინფორმაცია შესაძლოა იყოს განთავსებული იყოს ვებგვერდზე ან გამოთხოვილ იქნეს მონაცემთა ბაზიდან. ასევე, გამოყენებადობის განაცხადის გარდა ოტს 27001:2021 არ შეიცავს მითითებას დოკუმენტის კონკრეტული სახელის შესახებ. ამგვარად შესაძლებელია, რომ დოკუმენტირებული ინფორმაცია ინფორმაციული უსაფრთხოების პოლიტიკის შესახებ არ იყოს წარმოდგენილი „ინფორმაციული უსაფრთხოების პოლიტიკის“ სახელით და ორგანიზაციებს აქვთ შესაძლებლობა დაარქვან პოლიტიკებს სხვა სახელი.
ცხრილი №2 აუდიტის სახელმძღვანელო ოტს 27001:2021-სთვის
A.1. ორგანიზაციის კონტექსტი (ოტს 27001:2021, 3.2.)
A.1.1. ორგანიზაციის და მისი კონტექსტის განსაზღვრა (ოტს 27001:2021, 3.2.1.)
ოტს 27001:2021-ს დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021: 3.4.1, 3.7.3.
რელევანტური დეფინიციები
გარე კონტექსტი, ინფორმაციული უსაფრთხოება, შიდა კონტექსტი, მართვის სისტემა, ორგანიზაცია
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შესაძლოა მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროდან შემდეგ საკითხებზე:
ა) მნიშვნელოვანი ფაქტორები, რომლებსაც შეუძლიათ პოზიტიური ან ნეგატიური გავლენა იქონიონ იუმს-ზე;
ბ) ორგანიზაცია;
გ) ორგანიზაციის მიზანი;
დ) იუმს-ის დაგეგმილი შედეგი;
მნიშვნელოვანი ფაქტორების სავარაუდო წყაროებია:
ა) გარემო პირობების მახასიათებლები ან პირობები დაკავშირებული კლიმატთან, დაბინძურებასთან, რესურსების ხელმისაწვდომობასთან, ბიომრავალფეროვნებასთან და ამ პირობების გავლენა ორგანიზაციის შესაძლებლობაზე მიაღწიოს მის მიზნებს;
ბ) გარე კულტურული, სოციალური, პოლიტიკური, სამართლებრივი, მარეგულირებელი, ფინანსური, ტექნოლოგიური, ეკონომიკური, გარემო და კონკურენტული კონტექსტი როგორც საერთაშირისო, ისე ეროვნული, რეგიონული ან ადგილობრივი;
გ) ორგანიზაციის მახასიათებლები, როგორიც არის ორგანიზაცის მმართველობა, ინფორმაციის მიმოცვლა და გადაწყვეტილების მიღების პროცესები;
გ.ა) ორგანიზაციის პოლიტიკები, მიზნები და მათი მიღწევის არსებული სტრატეგიები;
გ.ბ) ორგანიზაციის კულტურა;
გ.გ) ორგანიზაციის მიერ მიღებული სტანდარტები, სახელმძღვანელო მითითებები და მოდელები;
გ.დ) ორგანიზაციის პროდუქტების და სერვისების სასიცოცხლო ციკლი;
გ.ე) ინფორმაციული სისტემები, პროცესები და ტექნოლოგიები, რომლებიც საფუძვლად უდევს ინფორმაციული უსაფრთხოების მართვას;
დ) აუდიტების მიმართულებები და რისკების შეფასება.
აუდიტორის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციას:
ა) უმაღლეს დონეზე გაცნობიერებული აქვს ფაქტორები, რომლებმაც შესაძლოა ნეგატიური ან პოზიტიური გავლენა მოახდინონ მის ფუნქციონირებაზე;
ბ) გაცნობიერებული აქვს გარე და შიდა ფაქტორები, რომლებიც რელევანტურია მისი მიზნებისთვის და რომლებსაც შეუძლიათ გავლენა იქონიონ იუმს-ის დაგეგმილი მიზნების მიღწევაზე;
შენიშვნა:
აუდიტორები ასევე უნდა დარწმუნდნენ, რომ მიზნად დასახული შედეგები მოიცავს ინფორმაციის კონფიდენციალობის, მთლიანობის და ხელმისაწვდომობის დაცვას რისკის მართვის პროცესის გამოყენებით და რისკების სათანადო მართვით.
აუდიტორებმა ასევე უნდა გადაამოწმონ, რომ „გარე და შიდა საკითხები“ (ოტს 27001:2021, 3.2.1.) მოიცავს ორგანიზაციის მნიშვნელოვან საკითხებს, განსახილველ პრობლემებს და დისკუსიებს, ან გარემოებების ცვლილებას და გადაამოწმონ, რომ მიღებული ცოდნა გამოიყენება ორგანიზაციის მიერ მართვის სისტემის დაგეგმვის, აღსრულების და მართვისას.
A.1.2. დაინტერესებული მხარეების საჭიროებების და მოლოდინების განსაზღვრა (ოტს 27001:2021, 3.2.2.)
ოტს 27001:2021-ს დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.2.1, 3.2.3.
რელევანტური დეფინიციები
დაინტერესებული მხარე
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაცის სხვა წყაროდან შემდეგ საკითხებზე:
ა) დაინტერესებული მხარეები;
ბ) შესაბამისი დაინტერესებული მხარეების საჭიროებები და მოლოდინები, რომლებიც რელევანტურია იუმს-ისთვის და ოტს 27001:2021-სთვის.
შენიშვნა:
პოტენციური დაინტერესებული მხარეები შეიძლება მოიცავდეს:
ა) სახელმწიფო ორგანოებს, იურიდიულ პირებს ან მარეგულირებელ ორგანოებს (ადგილობრივ, რეგიონულ, სახელმწიფო, ეროვნულ ან საერთაშორისო);
ბ) მშობელ ორგანიზაციებს;
გ) მომხმარებლებს;
დ) სავაჭრო და პროფესიულ გაერთიანებებს;
ე) არასამთავრობო ორგანიზაციებს;
ვ) მომწოდებლებს;
ზ) მეზობლებს;
თ) ორგანიზაციის წევრებს და ორგანიზაციაზე მომუშავე სხვა პირებს;
ი) ინფორმაციული უსაფრთხოების ექსპერტებს;
შენიშვნა: დაინტერესებულ მხარეებს შესაძლოა ჰქონდეთ განსხვავებული ინტერესები, რომლებიც შესაძლოა სრულად ან ნაწილობრივ იყოს თანხვედრაში ან ეწინააღმდეგებოდეს ორგანიზაციის ბიზნეს მიზნებს. საწინააღმდეგო ინტერესების მქონე სუბიექტის მაგალითად შესაძლოა მოყვანილ იქნეს ჰაკერი, რომელიც დაინტერესებულია ორგანიზაციის სუსტ უსაფრთხოებაში. ორგანიზაციამ მხედველობაში უნდა მიიღოს ამ დაინტერესებული მხარის მოთხოვნა სრულიად საწინაღმდეგო, ძლიერი უსაფრთხოების ქონით.
აუდიტორებმა უნდა იცოდნენ, რომ იუმს-ი ითვალისწინებს შიდა და გარე რისკის ყველა წყაროს. ამგვარად, უაღრესად მნიშვნელოვანი, რომ ორგანიზაცია სრულად უნდა აღიქვამდეს მისდამი ოპოზიცურად განწყობილ დაინტერესებულ მხარეებს და აცნობიერებდეს მათ ინტერესებს.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციას უმაღლეს დონეზე გაცნობიერებული აქვს შესაბამისი დაინტერესებული მხარეების საჭიროებები და მოლოდინები, რომლებიც რელევანტურია იუმს-ისთვის და ოტს 27001:2021-ის მოთხოვნებისთვის.
აუდიტორებმა უნდა შეამოწმონ, რომ ორგანიზაციას იდენტიფიცირებული აქვს როგორც იმ დაინტერესებული მხარეების მოთხოვნები, რომლებმაც ნებაყოფლობით საწყისზე გადაწყვიტეს ორგანიზაციასთან ურთიერთობა (მაგ.: შეთანხმების ან ხელშეკრულების საფუძველზე), ისე იმ მხარეების, რომლებთან ურთიერთობაც სავალდებულოა კანონების, სამართლებრივი აქტების, ნებართვების ან ლიცენზიების, სამთავრობო ან სასამართლო გადაწყვეტილებების საფუძველზე. ასევე, მხედველობაში უნდა იქნეს მიღებული, რომ დაინტერესებული მხარის არა ყველა მოლოდინი და საჭიროება უკავშირდება ორგანიზაციას ან რელევანტურია იუმს-ისთვის. ზოგიერთი დაინტერესებული მხარის საჭიროება (მაგ.: ჰაკერი) იქნება ორგანიზაციის მოთხოვნების და იუმს-ის მიზნების საწინააღმდეგო და შესაბამისად ორგანიზაციისგან მოითხოვება, რომ მიღებული იქნება სათანადო ინფორმაციული უსაფრთხოების კონტროლები, რომლებიც უზრუნველყოფენ, რომ ეს მოთხოვნები და მოლოდინები არ იქნეს დაკმაყოფილებული.
აუდიტორებს ასევე შეუძლიათ შეამოწმონ იყენებს თუ არა ორგანიზაცია მიღებულ ცოდნას იუმს-ის დაგეგმვის, აღსრულების და მართვის პროცესში.
A.1.3. ინფორმაციული უსაფრთხოების მართვის სისტემის გავრცელების ფარგლების განსაზღვრა (ოტს 27001:2021, 3.2.3)
ოტს 27001:2021 რელევანტური პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.2.1, 3.2.2
რელევანტური დეფინიციები
აუთსორსი
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროდან:
- ორგანიზაციის მართვის სტრუქტურის ფარგლები (როგორც ეს განისაზღვრება ოტს 27001:2021-ის 3.2.3. ქვეპუნქტით);
- ორგანიზაციის სერტიფიცირების სფერო, საჭიროების შემთხვევაში;
- გამოყენებადობის განაცხადი.
შენიშვნა: ორგანიზაციის სერტიფიცირების სფერო არ არის სავალდებულო ემთხვეოდეს იუმს-ის გავრცელების სფეროს. სერტიფიცირების სფერო, როგორც წესი, შემოფარგლული იქნება იუმს-ის გავრცელების სფეროთი.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციას განსაზღვრული აქვს ფიზიკური, ინფორმაციული, სამართლებრივი და ორგანიზაციული ფარგლები, რომლის მიმართაც მოქმედებს იუმს-ი და საკუთარი არჩევანით და გადაწყვეტილებით აღასრულებს ოტს 27001:2021-ს ორგანიზაციაში სრულად, მის კონკრეტულ დანაყოფში ან კონკრეტულ ფუნქცია(ებ)ში.
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციას ესმის მისი კონტექსტი (ოტს 27001:2021, 3.2.1), დაინტერესებული მხარეების მოთხოვნები (ოტს 27001:2021, 3.2.2.) და ურთიერთკავშირები და ურთიერთდამოკიდებულებები ორგანიზაციის მიერ განხორციელებულ საქმიანობას და სხვა ორგანიზაციების მიერ განხორციელებულ საქმიანობას შორის (ოტს 27001:2021, 3.2.3. გ)).
აუდიტორებმა შემდგომ უნდა დაადასტურონ, რომ ორგანიზაციის რისკების შეფასება და რისკების მოპყრობა სათანადოდ ასახავს მის აქტივობებს და ვრცელდება იუმს-ის გავრცელების ფარგლებით განსაზღვრულ მის აქტივობებზე. აუდიტორებმა უნდა განსაზღვრონ, რომ არსებობს სულ მცირე ერთი გამოყენებადობის განაცხადი თითოეულ გავრცელების სფეროზე და რომ რისკების მართვის პროცესით განსაზღვრული ყველა კონტროლი გათვალისწინებულია გამოყენებადობის განაცხად(ებ)ით. აღნიშნული კონტროლები არის აუცილებელი კონტროლები, რომლებიც გათვალისწინებულია ოტს 27001:2021 3.4.1.3. „ბ“ ქვეპუნქტით. გარდა 27002:2021-ით გათვალისწინებული კონტროლებისა ისინი შესაძლოა მოიცავდნენ სექტორის სპეციფიკურ კონტროლებს და კონტროლებს, რომლებიც შექმნილია უშულოდ ორგანიზაციის მიერ ან გათვალისწინებულია სხვა ნებისმიერი წყაროთი.
აუდიტორებმა ასევე უნდა დაადასტურონ, რომ გადაკვეთის წერტილები იმ სერვისებთან ან აქტივობებთან, რომლებიც სრულად არ ხვდებიან იუმს-ის გავრცელების ფარგლებში, ასახულია იუმს-ში და გათვალისწინებულია ინფორმაციული უსაფრთხოების რისკების შეფასებაში. ამგვარი სიტუაციის მაგალითად შეიძლება მოყვანილი იქნეს ინფრასტრუქტურის გაზიარების შემთხვევა (მაგ.: საინფორმაციო-ტექნოლოგიური ინფრასტრუქტურის, მონაცემთა ბაზების და სატელეკომუნიკაციო სისტემების ან ბიზნეს ფუნქციების აუთსორსინგი) სხვა ორგანიზაციასთან.
უნდა შემოწმდეს, რომ ფარგლების დოკუმენტირებული ინფორმაცია შექმნილია და კონტროლდება დოკუმენტირებული ინფორმაციის მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.5.5.).
A.1.4. ინფორმაციული უსაფრთხოების მართვის სისტემა (ოტს 27001:2021, 3.2.4.)
ოტს 27001:2021-ის რელევანტური პუნქტები და ქვეპუნქტები
ოტს 27001:2021: 3.4.1.1, 3.4.1.2, 3.6.1, 3.6.2, 3.6.3.
რელევანტური დეფინიციები
განგრძობადი გაუმჯობესება, ინფორმაციული უსაფრთხოება, მართვის სისტემა
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროდან იმ პროცესების თაობაზე, რომელთა შექმნაც მოითხოვება ოტს 27001:2021-ით და რომელიც მოიცავს:
ა) მართვის სისტემის პროცესებს (ოტს 27001:2021 3.2.4.);
ბ) ოპერაციული დაგეგმვის და კონტროლის პროცესებს, მათ შორის აუთსორსირებულ პროცესებს (ოტს 27001:2021, 3.6.1.);
გ) პროცესებს იუმს-ის დაგეგმვის ეტაპზე რისკების და შესაძლებლობების გათვალისწინების მიზნით, მათ შორის ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესს (ოტს 27001 3.4.1.2 ან/და 3.6.2.) და ინფორმაციული უსაფრთხოების რისკების მოპყრობის პროცესს (ოტს 27001 3.4.1.3 ან/და 3.6.3);
დ) ინფორმაციული უსაფრთხოების მიზნების მიღწევის პროცესებს.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციამ შექმნა „აუცილებელი მაგრამ საკმარისი“ პროცესების და კონტროლების ნაკრები, რომლებიც ერთობლიობაში ქმნიან ეფექტიან მმართველობით სისტემას ოტს 27001:2021-ის მოთხოვნების შესაბამისად.
აუდიტორებმა ასევე უნდა დაადასტურონ, რომ ორგანიზაცია, მისი შესაძლებლობების ფარგლებში, ინარჩუნებს უფლებამოსილებას, ანგარიშვალდებულებას და ავტონომიურობას იმის გადაწყვეტისას, თუ როგორ აღასრულებს იუმს-ის მოთხოვნებს, მათ შორის დეტალიზაციის დონეს და ფარგლებს, რომელშიც იგი მოახდენს იუმს-ის სისტემის ინტეგრირებას მის საქმიანობაში.
A.2. მენეჯმენტი (ოტს 27001:2021, პუნქტი 3.3.)
A.2.1. მენეჯმენტი და მხარდაჭერა (ოტს 27001:2021, 3.3.1.)
ოტს 27001:2021-ის რელევანტური პუნქტები და ქვეპუნქტები
ოტს 27001:2021: 3.2.1, 3.2.2, 3.2.4, 3.3.2, 3.3.3, 3.4.1.1, 3.4.2, 3.5.1, 3.5.4, 3.6.1, 3.7.3, 3.8.2.
რელევანტური დეფინიციები
ინფორმაციული უსაფრთხოება, უმაღლესი მენეჯმენტი
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) ინფორმაციული უსაფრთხოების პოლიტიკა (ოტს 27001:2021, 3.3.1. ა));
ბ) ინფორმაციული უსაფრთხოების მიზნები (ოტს 27001:2021, 3.3.1.ა))
გ) ორგანიზაციის პროცესები;
დ) მენეჯმენტის მიერ გადახედვის შედეგები (ოტს 27001:2021, 3.3.1. გ), ე) და ზ));
ე) რესურსების საჭიროების შეფასება;
ვ) ეფექტიანი ინფორმაციული უსაფრთხოების მენეჯმენტის მნიშვნელობის კომუნიცირება და ინფორმაციული უსაფრთხოების მართვის სისტემების მოთხოვნების აღსრულება.
მტკიცებულებები შესაძლოა ასევე მოპოვებული იქნეს უმაღლეს მენეჯმენტთან გასაუბრებით. მენეჯმენტის მიერ გადახედვის შედეგები შესაძლოა ასევე იძლეოდნენ აუდიტორულ მტკიცებულებებს.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ ორგანიზაციის უმაღლესი მენეჯმენტის ღია მხარდაჭერა, ჩართულობა და თანამიმდევრულობა, რაც უაღრესად მნიშვნელოვანია ოტს 27001:2021-ის წარმატებული აღსრულებისთვის.
აუდიტორებმა ასევე უნდა შეამოწმონ, რომ:
ა) უმაღლესი მენეჯმენტის დელეგირებული ამოცანები იდენტიფიცირებულია;
ბ) უმაღლესი მენეჯმენტი რჩება პასუხისმგებლად ორგანიზაციის მიერ განსახორციელებელი აქტივობების წარმატებით შესრულებაზე;
გ) უმაღლესი მენეჯმენტი უზრუნველყოფს, რომ ინფორმაციული უსაფრთხოების პოლიტიკა და მიზნები განსაზღვრულია და შესაბამისობაშია ორგანიზაციის საერთო სტრატეგიულ მიმართულებებთან;
დ) უმაღლესი მენეჯმენტი ახდენს ეფექტიანი ინფორმაციული უსაფრთხოების მართვის და იუმს-ის მოთხოვნების შესრულების მნიშვნელობის კომუნიცირებას;
ე) უმაღლესი მენეჯმენტი უზრუნველყოფს, რომ იუმს-ი აღწევს დასახულ მიზანს/მიზნებს ინფორმაციული უსაფრთხოების მართვის ყველა პროცესის მხარდაჭერით, განსაკუთრებით იუმს-ის სტატუსის და ეფექტიანობის შესახებ მოხსენებების მოთხოვნით და გადახედვით;
ვ) უმაღლესი მენეჯმენტი ხელმძღვანელობს და მხარს უჭერს ორგანიზაციაში ინფორმაციული უსაფრთხოების უზრუნველყოფაში და ინფორმაციული უსაფრთხოების მართვის სისტემაში უშუალოდ ჩართულ პირებს;
ზ) უმაღლესი მენეჯმენტი უზრუნველყოფს რესურსების ხელმისაწვდომობას იუმს-ის ეფექტიანობისთვის;
თ) უმაღლესი მენეჯმენტი აფასებს რესურსების საჭიროებებს და ადგენს მიზნებს განგრძობადი გაუმჯობესების და დაგეგმილი აქტივობების ეფექტიანობის მონიტორინგისთვის;
ი) უმაღლესი მენეჯმენტი ქმნის კულტურას და გარემოს, რომელიც წაახალისებს პირებს აღასრულონ იუმს-ის მოთხოვნები და მიაღწიონ ინფორმაციული უსაფრთხოების მიზნებს.
A.2.2. პოლიტიკა (ოტს 27001:2021, პუნქტი 3.3.2.)
ოტს 27001:2021-ის რელევანტური პუნქტები და ქვეპუნქტები
ოტს 27001:2021, პუნქტები: 3.4.2, 3.5.4.
რელევანტური დეფინიციები
ინფორმაციული უსაფრთხოების პოლიტიკა
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) ინფორმაციული უსაფრთხოების პოლიტიკა (ოტს 27001:2021, 3.3.2.);
ბ) ინფორმაციული უსაფრთხოების მიზნები (ოტს 27001:2021, 3.3.2. ბ) და 3.4.2).
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ:
ა) ინფორმაციული უსაფრთხოების პოლიტიკა განსაზღვრავს უმაღლესი დონის ორგანიზაციულ მხარდაჭერას ოტს 27001:2021-ს მოთხოვნის შესაბამისად ორგანიზაციის მიზნის მხედველობაში მიღებით;
ბ) ინფორმაციული უსაფრთხოების პოლიტიკა გამოიყენება ინფორმაციული უსაფრთხოების მიზნების შემოფარგვლისთვის და განსაზღვრისთვის ან ისინი პირდაპირ არის ფორმულირებული ინფორმაციული უსაფრთხოების პოლიტიკაში;
გ) ინფორმაციული უსაფრთხოების პოლიტიკა შექმნილია და კონტროლდება ინფორმაციის დოკუმენტირების მოთხოვნების შესაბამისად (ოტს 27001:2013, 3.5.5.);
დ) ინფორმაციული უსაფრთხოების პოლიტიკა კომუნიცირებულია ორგანიზაციის შიგნით, კომუნიცირების შესახებ მოთხოვნის შესაბამისად (ოტს 27001:2021, 3.5.4);
ე) ინფორმაციული უსაფრთხოების პოლიტიკა ხელმისაწვდომია დაინტერესებული მხარეებისთვის.
ინფორმაციული უსაფრთხოების პოლიტიკასთან ერთად, რომელიც შეიცავს შესაბამის მოთხოვნებთან, კერძოდ, კანონებთან და რეგულაციებთან შესაბამისის განაცხადს, იუმს-ი არ უნდა იქნეს განხილული როგორც შეუსაბამო, თუ იგი უზრუნველყოფს სისტემის ნაკლოვანებების დროულ გამოვლენას და აღმოფხვრას.
A.2.3. ორგანიზაციული როლები, პასუხისმგებლობები და უფლებამოსილებები (ოტს 27001:2021, 3.3.3.)
ოტს 27001:2021-ის რელევანტური პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.5.4. 3.7.2., 3.7.3.
რელევანტური დეფინიციები
ინფორმაციული უსაფრთხოება, ორგანიზაცია, უმაღლესი მენეჯმენტი
აუდიტორული მტკიცებულება
აუდიტის მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროდან შემდეგ საკითხებზე:
ა) ორგანიზაციული როლები;
ბ) სამუშაოს აღწერილობა, რომელსაც ახორციელებს პირი, რომელსაც შეუძლია გავლენა იქონიოს ინფორმაციული უსაფრთხოების ფუნქციონირებაზე;
გ) შიდა აუდიტის პროგრამების განხორციელება და აუდიტის შედეგები;
დ) იუმს-ის ფარგლები და ორგანიზაციის სტრუქტურა.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ:
ა) იუმს-ის მოთხოვნების შესრულების ვალდებულებები და უფლებამოსილებები განაწილებულია რელევანტურ როლებზე;
ბ) უმაღლესი მენეჯმენტი პასუხისმგებელია, რომ ეს ვალდებულები და უფლებამოსილებები ჰქონდეთ იმ პირებს, რომლებიც ახორციელებენ ამ როლებს;
გ) ვალდებულებები და უფლებამოსილებები კომუნიცირებულია კომუნიცირების შესახებ დებულების შესაბამისად (ოტს 27001:2021, 3.5.4);
დ) ოტს 27001:2021-ის მოთხოვნებთან თავსებადობის დემონსტრაცია ხორციელდება შიდა აუდიტის მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.7.2).
აუდიტორებმა უნდა შეამოწმონ, რომ პასუხისმგებელ პირებს აქვთ შესაბამისი კავშირი უმაღლეს მენეჯმენტთან იუმს-ის სტატუსის და ფუნქციონირების შესახებ ინფორმაციის მისაწოდებლად.
შენიშვნა: პასუხისმგებლობა, რომ მართვის სისტემა შეესაბამება ოტს 27001:2021-ის მოთხოვნებს შესაძლებელია მიეკუთვნებოდეს ერთ პირს, განაწილებული იყოს რამდენიმე პირს შორის ან მიეკუთვნებოდეს პირთა ჯგუფს.
A.3. დაგეგმვა (ოტს 27001:2021, პუნქტი 3.4.)
A.3.1. რისკების და შესაძლებლობების მოპყრობის ღონისძიებები (ოტს 27001:2021, 3.4.1.)
A.3.1.1. ზოგადი (ოტს 27001:2021, 3.4.1.1.)
ოტს 27001:2021-ის რელევანტური პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.2.1, 3.2.2, 3.6, 3.7, 8.2.
რელევანტური დეფინიციები
ინფორმაციული უსაფრთხოება, რისკი, რისკის მართვა
აუდიტორული მტკიცებულება
აუდიტის მტკიცებულებები შეიძლება მოპოვებული იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროდან შემდეგ საკითხებზე:
ა) იუმს-ის დაგეგმა (ოტს 27001:2021, 3.4.1.1, 3.5.5.1. ბ) და 3.6.1.);
ბ) ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესი (ოტს 27001:2021, 3.4.1.2.);
გ) ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესის შედეგები (ოტს 27001:2021, 3.6.2.);
დ) ინფორმაციული უსაფრთხოების რისკების მოპყრობის პროცესი (ოტს 27001:2021, 3.4.1.3.);
ე) ინფორმაციული უსაფრთხოების რისკების მოპყრობის შედეგები (ოტს 27001:2021, 3.6.3.);
ვ) მონიტორინგის და გაზომვის შედეგები (ოტს 27001:2021, 3.7.1.);
ზ) შიდა აუდიტის პროგრამები და შიდა აუდიტის შედეგები (ოტს 27001:2021, 3.7.2.);
თ) მენეჯმენტის გადახედვის შედეგები (ოტს 27001:2021, 3.7.3.);
ი) ორგანიზაციის კონტექსტი (ოტს 27001:2021, 3.2.);
კ) ინფორმაციული უსაფრთხოების მიზნები (ოტს 27001:2021, 3.4.2.).
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორმა უნდა შეამოწმოს, რომ დაგეგმვა:
ა) განხორციელდა იუმს-ის დანერგვისთვის საჭირო დონეზე;
ბ) მოიცავს პრობლემების განხილვას, რომლებიც რელევანტურია ორგანიზაციის კონტექსტისთვის, როგორც ეს განისაზღვრება ოტს 27001:2021 3.2.1. ქვეპუნქტით და ორგანიზაციის სათანადო მოთხოვნებისთვის, როგორც ეს განისაზღვრება ოტს 27001:2021 3.2.3. ქვეპუნქტით, რათა გათვალისწინებული იქნეს ყველა პოზიტიური და ნეგატიური შედეგი დაკავშირებული ოტს 27001:2021, 3.4.4.1 „ა“-„გ“ ქვეპუნქტებით განსაზღვრულ საკითხებთან;
გ) განჭვრეტს ყველა პოტენციურ სცენარს და შედეგს და ამგვარად ატარებს პრევენციულ ხასიათს უარყოფითი შედეგების მიმართ მათ დადგომამდე;
დ) ითვალისწინებს დაგეგმილ შედეგებს (ოტს 27001:2021, 3.4.4.1. „ა“), რომლებიც განსაზღვრულია ორგანიზაციის მიერ, რაც მოიცავს ინფორმაციის კონფიდენციალობის, ხელმისაწვდომობის და მთლიანობის დაცვას რისკების მართვის პროცესით;
ე) განსაზღვრავს, თუ როგორ უნდა მოხდეს აუცილებელი ან მიზანშეწონილი ღონისძიებების ინკორპორირება იუმს-ში, მიზნების დასახვით (ოტს 27001:2021, 3.4.2.), ოპერაციული კონტროლით (ოტს 27001:2021, 3.6.1.), თუ ოტს 27001:2021-ის სხვა კონკრეტული დებულებით, მაგ.: რესურსებით უზრუნველყოფით (ოტს 27001:2021, 3.5.1.), კომპეტენციით (ოტს 27001:2021, 3.5.2.), ინფორმაციული უსაფრთხოების რისკების შეფასებით (ოტს 27001:2021, 3.6.2.), ინფორმაციული უსაფრთხოების რისკების მოპყრობით (ოტს 27001:2021, 3.6.3);
ვ) განსაზღვრავს განხორციელებული ღონისძიებების ეფექტიანობის შეფასების მექანიზმებს, როგორებიც არის მონიტორინგი, გაზომვის ტექნიკები, შიდა აუდიტი და მენეჯმენტის მიერ გადახედვა.
A.3.1.2. ინფორმაციული უსაფრთხოების რისკების შეფასება (ოტს 27001:2021, 3.4.1.2.).
ოტს 27001:2021-ის რელევანტური პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.6.2.
რელევანტური დეფინიციები
ხელმისაწვდომობა, კონფიდენციალობა, მთლიანობა, ინფორმაციული უსაფრთხოება, რისკის იდენტიფიცირება, რისკის მიღების კრიტერიუმი, რისკების ანალიზი, რისკის შეფასება, რისკების მიღება.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებული იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) იუმს-ის დაგეგმვა (ოტს 27001:2021, 3.4.1.1, 3.5.5.1. ბ) და 3.6.1.);
ბ) ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესი (ოტს 27001:2021, 3.4.1.2.) და ინფორმაციული უსაფრთხოების რისკების შეფასების შედეგები (ოტს 27001:2021, 3.6.2.).
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ინფორმაციული უსაფრთხოების რისკების შეფასება:
ა) ახდენს იუმს-თან დაკავშირებული ინფორმაციული უსაფრთხოების რისკების იდენტიფიცირებას;
ბ) შედგება რისკების იდენტიფიცრების, რისკების ანალიზის და რისკების შეფასების პროცესებისგან.
რისკების კრიტერიუმი (ოტს 27001:2021, 3.4.1.2. „ა“.
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციამ დააფუძნა და ინარჩუნებს რისკების მიღების კრიტერიუმებს და ინფორმაციული უსაფრთხოების რისკების შეფასების კრიტერიუმებს.
ორგანიზაციებს აქვთ არჩევანი საკუთარი შეხედულების შესაბამისად რელევანტურად მიიჩნიონ სხვადასხვა ფაქტორები რისკების კრიტერიუმების, მათ შორის, რისკების მიღების და რისკების შეფასების კრიტერიუმების განსაზღვრისას. თუმცა, აუდიტორებმა უნდა შეაფასონ, თუ რამდენად წარმოადგენს მიღებული გადაწყვეტილებები ინფორმირებულ გადაწყვეტილებებს.
გონივრულია არსებობდეს მოლოდინი, რომ ორგანიზაციის რისკების კრიტერიუმები გათვალისწინებულია დოკუმენტირებულ ინფორმაციაში რისკების შეფასების პროცესის შესახებ. წინააღმდეგ შემთხვევაში ორგანიზაციამ უნდა წარმოადგინოს შესაბამისი არგუმენტაცია აღნიშნულის მიზეზების თაობაზე. სულ მცირე, გათვალისწინებული უნდა იქნეს ორგანიზაციის რისკების მიღების კრიტერიუმი და ორგანიზაციის რისკების შეფასების კრიტერიუმი.
შენიშვნა: ოტს 27001:2021, 3.6.2. მოითხოვს ორგანიზაციებისგან ინფორმაციული უსაფრთხოების რისკების შეფასება განახორციელონ პერიოდულად დაგეგმილი ინტერვალებით ან როდესაც დაგეგმილია ან ადგილი აქვს მნიშვნელოვან ცვლილებებს.
თანამიმდევრულობა, ვალიდურობა და შედარებადობა (ოტს 27001:2021, 3.4.1.2. „ბ“)
აუდიტორებმა უნდა დაადასტურონ, რომ რისკების შეფასების შედეგები ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესის შედეგად არის თანამიმდევრული, ვალიდური და შედარებადი. ეს დადასტურება შესაძლოა განხორციელდეს:
- ორგანიზაციისთვის კითხვის დასმით, თუ რატომ არის მათი რისკების შეფასების პროცესი თანამიმდევრული, ვალიდური და შედარებადი;
- ინფორმაციული უსაფრთხოების რისკების შეფასების შედეგების დოკუმენტირებული ინფორმაციით გათვალისწინებული ცალკეული მაგალითების აღებით;
თანამიმდევრულობის და ვალიდურობის შეფასებისთვის, აუდიტორებმა შეიძლება შეამოწმონ:
- არის თუ არა მსგავსი რისკები მსგავს კონტექსტში ერთნაირად შეფასებული;
- აქვს თუ არა რისკების განსხვავებულად შეფასებას სათანადო ახსნა;
- არის თუ არა შეფასების საერთო შედეგები ცალსახად გასაგები.
შედარებადობის შესაფასებლად აუდიტორებმა უნდა შეამოწმონ:
- როგორ მოხდა იგივე რისკის შეფასება რისკების წინა შეფასების დროს და არის თუ არა ცვლილება ახსნადი;
- არის თუ არა ცალსახად გაგებადი, თუ რატომ არის რისკი სხვა რისკებთან შედარებით მაღალი ან უფრო დაბალი.
რისკების იდენტიფიცირება (ოტს 27001:2021, 3.4.1.2. „გ“)
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციამ იუმს-ის ფარგლებში განახორციელა კონფიდენციალობის, მთლიანობის და ხელმისაწვდომობის დაკარგვასთან დაკავშირებული ინფორმაციული უსაფრთხოების რისკების იდენტიფიცირება.
ოტს 27001:2021 არ მოითხოვს რისკების იდენტიფიცირებას მხოლოდ აქტივების, საფრთხეების და სისუსტეების იდენტიფიცირებით. მისაღებია ასევე რისკების იდენტიფიცირების ისეთი მეთოდები, როგორიც არის მაგალითად რისკების იდენტიფიცირება მოვლენების და შედეგების განხილვით.
გონივრულია არსებობდეს მოლოდინი, რომ ორგანიზაციის რისკების იდენტიფიცირების პროცესის აღწერა მოცემული იქნება რისკების შეფასების პროცესის ამსახველ დოკუმენტირებულ ინფორმაციაში. ფაქტორები, რომლებსაც ორგანიზაცია შესაძლოა (არ არის სავალდებულო) ითვალისწინებდეს რისკების იდენტიფიცირების მიმართ მისი მიდგომის ჩამოყალიბებისას, შესაძლოა მოიცავდეს:
ა) რისკების პოვნის, გამოვლენის და აღწერის მეთოდს;
ბ) რისკების განსახილველ წყაროებს.
სხვა ფაქტორები, რომლებიც შესაძლოა მხედველობაში იქნეს მიღებული ორგანიზაციის მიერ არის შემდეგი:
ა) როგორ შეუძლიათ რისკებს ორგანიზაციის ინფორმაციული უსაფრთხოების მიზნების მიღწევის დაბრკოლება, უკან დახევა, დაჩქარება ან შეფერხება; შესაძლებლობის გამოუყენებლობით გამოწვეულ რისკები;
ბ) რისკები, მიუხედავად იმისა, არის თუ არა მათი გამომწვევი წყარო ორგანიზაციის კონტროლს ქვეშ;
გ) კონკრეტული შედეგების, მათ შორის, კასკადური და კუმულატიური ეფექტების გავლენის შესწავლა;
დ) შედეგების ფართო წრის განხილვა, იმ შემთხვევაშიც, თუ რისკის გამომწვევი ფაქტორი ან მიზეზი შესაძლოა არ იყოს აშკარა;
ე) ყველა მნიშვნელოვანი მიზეზის და შედეგის განხილვა;
ვ) როგორ არის შესაძლებელი რისკების მრავალმხრივი სიის შექმნა.
შენიშვნა: გარემოება, რომ მნიშვნელოვანი რაოდენობის საჭირო კონტროლები არის გამოტოვებული, შესაძლოა წარმოადგენდეს ცუდად წარმართული რისკების იდენტიფიცირების პროცესის ინდიკატორს.
მაგალითების შესწავლის დროს უნდა დადასტურდეს, რომ იუმს-ის ფარგლებში არსებული მნიშვნელოვანი ინფორმაცია სრულად არის ჩართული რისკების შეფასების პროცესში.
აუდიტორებმა უნდა დაადასტურონ, რომ დოკუმენტირებული ინფორმაცია შეიცავს რისკების შეფასების შედეგებს, რომლებიც უკავშირდება იუმს-ის ფარგლებში არსებული ინფორმაციის კონფიდენციალობის, მთლიანობის და ხელმისაწვდომობის დაკარგვას. ორგანიზაციის ინფორმაციული უსაფრთხოების მიზნებმა შესაძლოა ხელი შეუწყონ აუდიტორებს ინფორმაციული უსაფრთხოების რისკების გამოვლენაში.
აუდიტორებმა ასევე უნდა დაადასტურონ, რომ:
ა) თითოეული რისკისთვის იდენტიფიცირებულია რისკის მფლობელი;
ბ) თითოეულ რისკის მფლობელს აქვს ვალდებულება და უფლებამოსილება განახორციელოს იდენტიფიცირებული რისკების მართვა.
რისკების ანალიზი (ოტს 27001:2021, 3.4.1.2. „დ“)
აუდიტორებმა უნდა დაადასტურონ, რომ:
ა) ორგანიზაცია აცნობიერებს იდენტიფიცირებული რისკების ბუნებას და განსაზღვრავს რისკის დონეს რისკის ანალიზს შედეგად ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესში;
ბ) რისკების ანალიზის შედეგები მხედველობაში მიიღება რისკების ევალუაციის დროს და რისკების მოპყრობის შესახებ გადაწყვეტილების მიღებისას, ისევე როგორც რისკების ყველაზე სათანადო მოპყრობის, სტრატეგიებისა და მეთოდების განსაზღვრისას.
აუდიტორებმა ასევე უნდა დაადასტურონ, რომ ორგანიზაციამ შეაფასა რისკთან დაკავშირებული პოტენციური შედეგები და ალბათობა და ამგვარად განსაზღვრა რისკის დონე.
გონივრულია მოლოდინი, რომ რისკების ანალიზთან ორგანიზაციის მიდგომის აღწერა მოცმული იქნება რისკების შეფასების პროცესის დოკუმენტირებულ ინფორმაციაში და შედეგები მოცემული იქნება რისკების შეფასების შედეგების დოკუმენტირებულ ინფორმაციაში. აუდიტორებმა უნდა გაითვალისწინონ ორგანიზაციის რისკებთან მოპყრობის პოლიტიკები, სტრატეგიები, მეთოდები.
რისკების ანალიზი შესაძლოა იყოს:
ა) განხორციელებული დეტალიზაციის სხვადასხვა დონით, რაც დამოკიდებულია რისკზე ანალიზის მიზანზე, ინფორმაციაზე, მონაცემებზე და ხელმისაწვდომ რესურსებზე;
ბ) ხარისხობრივი, ნაწილობრივ-რაოდენობრივი, რაოდენობრივი ან მათი კომბინაცია, გარემოებებიდან გამომდინარე.
რისკების ევალუაცია (ოტს 27001:2021, 3.4.1.2. „ე“)
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციამ განახორციელა რისკის ანალიზის შედეგების შედარება ინფორმაციული უსაფრთხოების რისკების მიღების კრიტერიუმებთან იდენტიფიცირებული რისკების მისაღებადობის განსაზღვრის მიზნით.
აუდიტორებმა ასევე უნდა დაადასტურონ, რომ რისკების შეფასების შედეგები იძლევა მტკიცებულებას, რომ რისკების მიღების კრიტერიუმები სწორად იქნა გამოყენებული და რომ იდენტიფიცირებული და გაანალიზებული რისკები იქნა პრიორიტიზებული შემდგომი მოპყრობის მიზნით.
უფრო დეტალურად აუდიტორებმა უნდა გადახედონ, რომ რისკების ევალუაცია:
ა) ეხმარება ორგანიზაციას გადაწყვეტილებების მიღებაში, თუ როგორ უნდა განხორციელდეს რისკების მოპყრობა და მოპყრობის აღსრულების პრიორიტიზაცია;
ბ) იწვევს რისკის ანალიზის შედეგად მიღებული რისკის დონის შედარებას ინფორმაციული უსაფრთხოების რისკის კრიტერიუმთან, რომელიც განისაზღვრება კონტექსტის ჩამოყალიბებისას;
აუდიტორებმა ასევე უნდა შეაფასონ, რომ გადაწყვეტილებები:
ა) ითვალისწინებს რისკის უფრო ფართო კონტექსტს;
ბ) მხედველობაში იღებს დაინტერესებული მხარეების მოთხოვნებს, მათ შორის, სამართლებრივ, მარეგულირებელ და სხვა მოთხოვნებს.
დოკუმენტირებული ინფორმაცია (ოტს 27001:2021, 3.4.1.2 და 3.6.2.)
აუდიტორებმა უნდა დაადასტურონ, რომ არსებობს დოკუმენტირებული ინფორმაცია რისკების შეფასების პროცესთან დაკავშირებით.
გონივრულია მოლოდინი, რომ ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესის დოკუმენტირებული ინფორმაცია მოიცავდეს:
ა) რისკის კრიტერიუმის დეფინიციას, მათ შორის, რისკის მიღების კრიტერიუმს და ინფორმაციული უსაფრთხოების რისკის შეფასების კრიტერიუმს;
ბ) შედეგების თანამიმდევრულობის, ვალიდურობის და შედარებადობის დასაბუთებას;
გ) რისკების იდენტიფიკაციის პროცესის აღწერას (მათ შორის, რისკის მფლობელების აღწერას);
დ) ინფორმაციული უსაფრთხოების რისკების ანალიზის პროცესის აღწერას (მათ შორის, პოტენციური შედეგების შეფასებას, ალბათობის რეალურობას და რისკის საბოლოო დონეს);
ე) შედეგების რისკის კრიტერიუმებთან შედარების პროცესს და რისკების პრიორიტიზაციას მათი მოპყრობის მიზნით.
A.3.1.3. ინფორმაციული უსაფრთხოების რისკების მოპყრობა ოტს 27001:2021, 3.4.1.3.
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები; ოტს 27002:2021
ოტს 27001:2021, ქვეპუნქტი 3.6.3, ოტს 27002:2021
რელევანტური დეფინიციები
კონტროლი, კონტროლის მიზანი, დოკუმენტირებული ინფორმაცია, ინფორმაციული უსაფრთხოება, ნარჩენი რისკი, რისკის შეფასება, რისკის კრიტერიუმი, რისკის მფლობელი, რისკის მოპყრობა.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებული იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) იუმს-ის დაგეგმვა;
ბ) ინფორმაციული უსაფრთხოების რისკის მოპყრობის პროცესი;
გ) ინფორმაციული უსაფრთხოების რისკის მოპყრობის შედეგები;
დ) გამოყენებადობის განაცხადი.
აუდიტის პრაქტიკული სახელმძღვანელო
ინფორმაციული უსაფრთხოების რისკების მოპყრობა (27001:2021, 3.4..1.3)
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია ახდენს ინფორმაციული უსაფრთხოების რისკების მოდიფიცირებას ინფორმაციული უსაფრთხოების რისკების მოპყრობის პროცესის შედეგად.
აუდიტორებმა ასევე უნდა შეამოწმონ, რომ ინფორმაციული უსაფრთხოების რისკების მოპყრობა იწვევს:
ა) ერთი ან რამდენიმე ვარიანტის შერჩევას ინფორმაციული უსაფრთხოების რისკების მოდიფიცირებისთვის და ამ ვარიანტის/ვარიანტების იმპლემენტირებას, რაც უზრუნველყოფს კონტროლების შემოღებას ან არსებული კონტროლების მოდიფიცირებას;
ბ) მოპყრობის ეფექტიანობის კრიტიკული შეფასების ციკლურ პროცესს.
რისკის მოპყრობის სათანადო ვარიანტების შერჩევა (ოტს 27001:2021, 3.4.1.3. „ა“)
აუდიტორებმა უნდა დაადასტურონ, რომ დოკუმენტირებული ინფორმაცია რისკების მოპყრობის პროცესთან დაკავშირებით შეიცავს მეთოდების აღწერას, რომელსაც ორგანიზაცია იყენებს ინფორმაციული უსაფრთხოების რისკების მოპყრობის სათანადო ვარიანტების შერჩევისთვის. აუდიტორებმა ასევე უნდა დაადასტურონ, რომ აღწერა შეესაბამება ორგანიზაციის მიერ პრაქტიკაში განხორცილებულ ქმედებებს.
აუდიტორებმა ასევე უნდა შეამოწმონ თავსებადობა რისკების კრიტერიუმებს და რისკების მოპყრობის გეგმას შორის. ორგანიზაციას უნდა შეეძლოს ახსნას რისკების მოპყრობის ვარიანტებთან დაკავშირებით მიღებული გადაწყვეტილებები იმ შემთხვევაშიც თუ ისინი არ არის დოკუმენტირებული.
აუდიტორებმა უნდა შეამოწმონ ორგანიზაციის მიერ შერჩეულ რისკების მოპყრობის ვარიანტები. აუდიტორებმა ასევე უნდა შეამოწმონ რისკების მოპყრობის შერჩეული ვარიანტების სათანადოობა.
აუდიტორებმა ასევე უნდა შეამოწმონ აისახა თუ არა ინფორმაციულ ტექნოლოგიებში ან პროცესებში მომხდარი ბოლო ცვლილებები რისკების შეფასების და რისკების მოპყრობის გადაწყვეტილებებში.
ყველა საჭირო კონტროლის განსაზღვრა (ოტს 27001:2021, 3.4.1.3. „ბ“)
აუდიტორებმა უნდა დაადასტურონ, რომ რისკების მოპყრობის პროცესთან დაკავშირებით არსებული დოკუმენტირებული ინფორმაცია შეიცავს იმ მეთოდის აღწერას, რომელსაც ორგანიზაცია იყენებს ინფორმაციული უსაფრთხოების საჭირო კონტროლების განსაზღვრისთვის. აუდიტორებმა ასევე უნდა დაადასტურონ, რომ ეს აღწერა შეესაბამება ორგანიზაციის მიერ პრაქტიკულად განხორციელებულ ქმედებებს.
მოითხოვება, რომ გამოყენებადობის განაცხადი შეიცავდეს აუცილებელ კონტროლებს. საჭირო კონტროლები არ არის აუცილებელი იყოს ოტს 27002:2021 დანართით გათვალისწინებული კონტროლები. ისინი შეიძლება იყოს სექტორისთვის სპეციფიკური კონტროლები ან უშულოდ ორგანიზაციის მიერ სხვა ნებისმიერი წყაროდან შერჩეული კონტროლები.
ყველა კონტროლი, რომელიც განისაზღვრება როგორც რისკის მოპყრობის ვარიანტი, გათვალისწინებული უნდა იქნეს გამოყენებადობის განაცხადით.
შედარება ოტს 27002:2021-თან (ოტს 27001:2021, №. 3.4.1.3. „გ“)
შესაბამისობა მოწმდება გამოყენებადობის განაცხადის შესწავლით.
გამოყენებადობის განაცხადი (ოტს 27001:2021, 3.4.1.3. „დ“)
აუდიტორებმა უნდა შეამოწმონ, რომ გამოყენებადობის განაცხადი შეიცავს:
ა) საჭირო კონტროლებს, რომლებიც განისაზღვრება ოტს 27001:2021 3.4.1.3. „ბ-გ“ დებულებების გამოყენების პროცესის შედეგად;
ბ) მათი ჩართვის დასაბუთებას;
გ) საჭირო კონტროლების აღსრულების სტატუსს (აღსრულებულია თუ არა საჭირო კონტროლები);
დ) ოტს 27002:2021-ით გათვალისწინებული კონტროლებიდან გამონაკლისების დასაბუთებას, მაგალითად:
დ.ა. კონტროლი გამოყენება იმ აქტივობის კონტექსტში, რომელშიც ორგანიზაცია არ არის ჩართული;
დ.ბ. ორგანიზაცია იყენებს ფართოდ გავრცელებულ კონტროლს, რომელიც გამორიცხავს ოტს 27002:2021-ით გათვალისწინებული კონტროლის გამოყენების საჭიროებას;
დ.გ. ორგანიზაცია იყენებს კონტროლს, რომელსაც აქვს იგივე მიზანი, რაც ოტს 27002:2021-ით გათვალისწინებულ კონტროლს;
დ.დ. ორგანიზაცია იყენებს სექტორ-სპეციფიურ კონტროლებს, რომლებსაც აქვთ იგივე მიზანი რაც ოტს 27002:2021-ით განსაზღვრულ კონტროლებს.
აუდიტორებმა ასევე უნდა დაადასტურონ შესაბამისობა შერჩეული რისკის მოპყრობის ვარიანტის რეალიზებისთვის საჭირო კონტროლ(ებ)ს და გამოყენებადობის განაცხადს შორის.
რისკის მოპყრობის გეგმის ჩამოყალიბება (ოტს 27001:2021, 3.4.1.3 „ე“)
აუდიტორებმა უნდა დაასაბუთონ, რომ რისკის მოპყრობის პროცესთან დაკავშირებული დოკუმენტირებული ინფორმაცია მოიცავს მეთოდის აღწერას, რომელიც გამოიყენება მისი რისკის მოპყრობის გეგმის შედგენისთვის.
აუდიტორებმა ასევე უნდა დაასაბუთონ, რომ რისკის მოპყრობის გეგმა ჩამოყალიბებულია ოტს 27001:2021, 3.4.1.3. „ა-გ“ ქვეპუნქტების გათვალისწინებით.
აუდიტორებმა ასვე უნდა დაასაბუთონ, რომ მოპყრობის გეგმით გათვალისწინებული ინფორმაცია შეიცავს:
ა) გეგმით მოცულ რისკებს;
ბ) საჭირო კონტროლებს;
გ) მოლოდინებს, თუ როგორ შეცვლის საჭირო კონტროლები რისკებს იმგვარად, რომ დაკმაყოფილებული იქნეს რისკების მიღების კრიტერიუმები;
დ) რისკის მფლობელებს;
შენიშვნა: რისკის მფლობელი პასუხისმგებელია რისკების მოპყრობის გეგმის და ნარჩენი რისკების მიღებაზე;
ე) რისკების მოპყრობის შერჩეულ ვარიანტ(ებ)ს;
ვ) საჭირო კონტროლების აღსრულების სტატუსს;
ზ) მოპყრობის ვარიანტების შერჩევის მიზეზს, მათ შორის, მოსალოდნელ სარგებელს;
თ) განსახორციელებელ ქმედებებს, მათ შორის, პასუხისმგებელ პირებს და დროის ცხრილს;
ი) საჭირო რესურსებს, მათ შორის, სავარაუდო გაუთვალისწინებელ ხარჯებს;
კ) მოხსენებას და მონიტორინგს;
აუდიტორებმა ასევე უნდა შეამოწმონ, რომ რისკების მოპყრობის გეგმა მხედველობაში იღებს ორგანიზაციის ობიექტურ გარემოებებს და მენეჯმენტის პროცესებს და რომ იგი განხილულია ყველა რელევანტურ დაინტერესებულ მხარესთან.
რისკი მფლობელის თანხმობის მიღება (ოტს 27001:2021, 3.4.1.3 „ვ“)
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია:
ა) ახდენს რისკის მფლობელების იდენტიფიცირებას;
ბ) ახდენს ნარჩენი რისკების დოკუმენტირებას;
გ) ახდენს რისკების მფლობელის თანხმობის მოპოვებას ინფორმაციული უსაფრთხოების რისკების მოპყრობის გეგმაზე და ნარჩენი რისკების მიღებაზე.
დოკუმენტირებული ინფორმაცია
აუდიტორებმა უნდა დაადასტურონ, რომ არსებობს რისკებთან მოპყრობის შესახებ დოკუმენტირებული ინფორმაცია.
გონივრული იქნება მოლოდინი, რომ დოკუმენტირებულ ინფორმაციაში ინფორმაციული უსაფრთხოების რისკების მოპყრობის პროცესთან დაკავშირებით იქნება აღწერილი:
ა) ინფორმაციული უსაფრთხოების რისკების მოპყრობის სათანადო ვარიანტების შერჩევის მეთოდი;
ბ) საჭირო კონტროლების შერჩევის მეთოდი;
გ) როგორ ხდება ოტს 27002:2021-ის გამოყენება იმის უზრუნველსაყოფად, რომ საჭირო კონტროლი არ იქნეს გამოტოვებული;
დ) როგორ ხდება რისკების მოპყრობის გეგმის შედგენა;
ე) როგორ ხდება რისკების მფლობელის თანხმობის მოპოვება;
შენიშვნა: არ არსებობს კონკრეტული მოთხოვნები რისკებთან მოპყრობის გეგმის შინაარსისა და ფორმატის თაობაზე.
A.3.2. ინფორმაციული უსაფრთხოების მიზნები და მითი მიღწევის დაგეგმვა (ოტს 27001:2021, 3.4.2.)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.3.1, 3.3.2, 3.5.1, 3.5.3, 3.5.4, 3.5.5, 3.7.1, 3.7.3, 3.8.2.
რელევანტური დეფინიციები
ინფორმაციული უსაფრთხოება, მიზნები.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან ინფორმაციული უსაფრთხოების მიზნების და მათი მიღწევის გეგმების შესახებ.
აუდიტის პრაქტიკული სახელმძღვანელო
როგორც აღინიშნა, არსებობს კავშირები ინფორმაციული უსაფრთხოების მიზნებს და მათი მიღწევის გეგმებს, მენეჯმენტს, მხარდაჭერას (ოტს 27001:2021, 3.3.1) და პოლიტიკას (ოტს 27001:2021, 3.3.2.) შორის.
აუდიტორებმა უნდა დაადასტურონ, რომ:
ა) ინფორმაციული უსაფრთხოების მიზნები განსაზღვრულია ორგანიზაციის შესაბამის ფუნქციებზე და დონეებზე;
ბ) ინფორმაციული უსაფრთხოების მიზნები კონკრეტიზებულია იმგვარად, რომ შესაძლებელია მათი მიღწევის განსაზღვრა;
გ) მიზნები, თუ ეს შესაძლებელია, გაზომვადია (ზოგიერთ შემთხვევაში შესაძლოა შეუძლებელი იყოს ინფორმაციული უსაფრთხოების მიზნების გაზომვა);
დ) ინფორმაციული უსაფრთხოების მიზნების და მათი მიღწევის გეგმის სტატუსი და პროგრესი პერიოდულად გადაიხედება მონიტორინგის, გაზომვის, ანალიზის და შეფასების მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.7.1.) და საჭიროებისამებრ განახლდება განგრძობადი გაუმჯობესების მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.8.2.);
ე) ინფორმაციული უსაფრთხოების მიზნები და მათი მიღწევის გეგმები კომუნიცირებულია კომუნიცირების შესახებ მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.5.4.);
ვ) მიზნების დოკუმენტირებული ინფორმაცია შექმნილია ინფორმაციის დოკუმენტირების მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.5.5).
აუდიტორებმა ასევე უნდა დაადასტურონ, რომ:
ა) ინფორმაციული უსაფრთხოების მიზნების მიღწევისთვის საჭირო ქმედებები და ვადები განსაზღვრულია;
ბ) პასუხიმგებლობა მისი განხორციელებისთვის განაწილებულია ორგანიზაციის როლების, პასუხისგებლობების და უფლებამოსილებების შესაბამისად;
გ) ინფორმაციული უსაფრთხოების სათანადო მოთხოვნები და რისკების შეფასების და რისკების მოპყრობის შედეგები მხედველობაში მიიღება მიზნების და მათი მიღწევის დაგეგმვის დროს;
დ) ბიუჯეტთან, სპეციალურ უნარებთან, ტექნოლოგიებთან ან ინფრასტრუქტურასთან დაკავშირებული მოთხოვნები, რომლებიც აუცილებელია მიზნების მისაღწევად, განსაზღვრულია და უზრუნველყოფილია რესურსებით უზრუნველყოფასთან დაკავშირებული მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.5.1.);
ე) მიღწევების საერთო შედეგების შეფასების მექანიზმები განსაზღვრულია მონიტორინგის, გაზომვის, ანალიზის და შეფასების მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.7.1.) და მოხსენებულია მენეჯმენტის მიერ გადახედვის შესახებ მოთხოვნის შესაბამისად (ოტს 27001:2021, 3.7.3.).
A.4. მხარდაჭერა (ოტს 27001:2021, პუნქტი 3.5.)
A.4.1. რესურსები (ოტს 27001:2021, 3.5.1.)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.3.1, 3.4.2, 3.5.2.
რელევანტური დეფინიციები
განგრძობადი გაუმჯობესება, მართვის სისტემა.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებული იქნეს დოკუმენტირებული ინფორმაციიდანს, ან ინფორმაციის სხვა წყაროებიდან იმ რესურსების შესახებ, რომლებიც ორგანიზაციას ესაჭიროება, რომ:
ა) შექმნას და აღასრულოს იუმს-ი (მათ შორის, ოპერაციები და კონტროლები);
ბ) შეინარჩუნოს და განგრძობადად გააუმჯობესოს იუმს-ი.
რესურსები შესაძლოა მოიცავდეს:
ა) ადამიანურ რესურსს;
ბ) სპეციალიზებულ უნარებს და ცოდნას;
გ) ორგანიზაციულ ინფრასტრუქტურას (მაგ.: შენობებს, საკომუნიკაციო ხაზებს და ა.შ.);
დ) ტექნოლოგიებს;
ე) ინფორმაციას, ინფორმაციასთან დაკავშირებულ სხვა აქტივებს და ინფორმაციის დამუშავების საშუალებებს;
ვ) ფულად სახსრებს.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია განჭვრეტს, განსაზღვრავს და გამოყოფს იუმს-ის შექმნისთვის და აღსრულებისთვის, ისევე როგორც მისი მხარდაჭერისა და განგრძობადი განვითარებითვის საჭირო რესურსებს.
A.4.2. კომპეტენცია (ოტს 27001:2021, 3.5.2.)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.3., 3.5.1, 3.3.5.1, 3.7.1. დ) და ე), 3.7.2.
რელევანტური დეფინიციები
კომპეტენცია, ეფექტიანობა.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებული, იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შესაბამისი:
ა) ორგანიზაციული როლების, პასუხისმგებლობების და უფლებამოსილებების შესახებ;
ბ) სამუშაოს აღწერილობის შესახებ;
გ) საჭირო კომპეტენციის შესახებ;
დ) განათლების ჩანაწერის შესახებ;
ე) ტრენინგპროგრამების, კურსების და საგანმანათლებლო აქტივობების შესახებ;
ვ) შესაბამისი კომპეტენციის მიღების და შენარჩუნების მიზნით განხორციელებული ქმედებების შესახებ;
ზ) მათი ეფექტიანობის შემოწმების შესახებ.
შენიშვნა: ოტს 27001:2021, 3.5.2. განავრცობს კომპეტენციის ფარგლებს ასევე პირებზე, რომლებიც არ არიან ორგანიზაციის თანამშრომლები. მოთხოვნა ითვალისწინებს, რომ „ისინი ახორციელებენ საქმიანობას ორგანიზაციის კონტროლს ქვეშ“. მაგ.: ქვეკონტრაქტორები და მოხალისეები.
აუდიტორული მტკიცებულებები, რომლებიც გამოითხოვება მესამე პირებისგან შეზღუდული უნდა იყოს იმ ფუნქციების და აქტივობების შესახებ მტკიცებულებებით, რომლებიც ხორციელდება იუმს-ისთვის.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია:
ა) განსაზღვრავს:
ა.ა) პირებს, რომლებიც ახორციელებენ საქმიანობას მისი კონტროლის ქვეშ, რასაც გავლენა აქვს მისი ინფორმაციული უსაფრთხოების ფუნქციონირებაზე;
ა.ბ) ცოდნას და უნარებს დაგეგმილი მიზნების მისაღწევად;
ა.გ) პირების შესაძლებლობას, გამოიყენონ მათი უნარების და ცოდნა დაგეგმილი მიზნების მისაღწევად.
ბ) უზრუნველყოფს, რომ ამ პირებს აქვთ სათანადო უნარები მათი განათლების, ტრენინგების ან გამოცდილების საფუძველზე;
გ) საჭიროების შემთხვევაში ახორციელებს სათანადო ზომებს საჭირო უნარების შესაძენად.
A.4.3. ცნობიერება (ოტს 27001:2021, 3.5.3)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.3.1. დ), 3.3.2, 3.7.1, 3.7.2, 3.8.1, 3.8.2.
რელევანტური დეფინიციები
შესაბამისობა, ეფექტიანობა, ფუნქციონირება, პოლიტიკა.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) ინფორმაციული უსაფრთხოების პოლიტიკა;
ბ) ინფორმაციული უსაფრთხოების მიზნები;
გ) ინფორმაციული უსაფრთხოების ფუნქციონირება;
დ) შეუსაბამობები და მაკორექტირებელი ქმედებები;
ე) ორგანიზაციული როლები, პასუხისმგებლობები და უფლებამოსილებები;
ვ) სამუშაოს აღწერა;
ზ) ცნობიერების პროგრამები და ტრენინგები.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ პირები, რომლებიც ახორციელებენ მათ საქმიანობას ორგანიზაციის კონტროლს ქვეშ ინფორმირებული არიან:
ა) ინფორმაციული უსაფრთხოების პოლიტიკის შესახებ;
ბ) მათი კონტრიბუციის შესახებ იუმს-ის ეფექტიანობაში, მათ შორის გაუმჯობესებული ინფორმაციული უსაფრთხოების შედეგად მიღებული სარგებლის თაობაზე;
გ) იუმს-ის მოთხოვნების შეუსრულებლობის შედეგების შესახებ.
აუდიტორებმა შერჩევითი პრინციპით უნდა გამოკითხონ პირთა გარკვეული რაოდენობა, იმის დამადასტურებლად, რომ ისინი ფლობენ ამ ინფორმაციას.
აუდიტორებმა უნდა მოიძიონ ინფორმაცია სხვა ტრენინგების შესახებ, რომელთაც არ აქვთ პირდაპირი კავშირი ინფორმაციულ უსაფრთხოებასთან. ეს აქტივობები შესაძლოა მჭიდროდ იყოს დაკავშირებული უმაღლესი მენეჯმენტის მიერ კომუნიცირების აქტივობებთან (ოტს 27001:2021, 3.3.1 დ) და 3.5.4).
A.4.4. კომუნიკაცია ოტს 27001:2021, 3.5.4.
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.3.1, 3.3.2, 3.3.3, 3.4.2, 3.7.2.
რელევანტური დეფინიციები
პოლიტიკა.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულება შეიძლება მოპოვებული იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) ინფორმაციული უსაფრთხოების პოლიტიკა;
ბ) ორგანიზაციული როლები, პასუხისგებლობები და უფლებამოსილებები;
გ) ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესი;
დ) ინფორმაციული უსაფრთხოების რისკების მოპყრობის პროცესი;
ე) ინფორმაციული უსაფრთხოების მიზნები;
ვ) ინფორმაცია, რომ პროცესები აღსრულებულ იქნა გეგმის შესაბამისად;
ზ) ინფორმაციული უსაფრთხოების რისკების შეფასების შედეგები;
თ) ინფორმაციული უსაფრთხოების რისკების მოპყრობის შედგები;
ი) იუმს-ის ფუნქციონირება;
კ) აუდიტის შედეგები;
ლ) ხელმძღვანელობის მიერ გადახედვის შედეგები.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციის კომუნიკაციის საჭიროებები განსაზღვრულია, აღსრულებული და მხარდაჭერილი ეფექტიანად ოტს 27001:2021-ის მოთხოვნების შესაბამისად.
მტკიცებულებების მაგალითები შესაძლოა მოიცავდეს:
ა) შეხვედრების საოქმო ჩანაწერებით დოკუმენტირებულ პასუხებს;
ბ) ფორმალური კომუნიკაციების გეგმას, დოკუმენტირებულ პროცედურებს და შედეგებს;
გ) განსაზღვრული როლის მქონე პირებთან ინტერვიუებს იმის დემონსტრირებისთვის, რომ მათ იციან ვის, რა და როდის უნდა მიაწოდონ და ვის აქვს ამგვარი კომუნიკაციის უფლებამოსილება;
ამგვარ მტკიცებულებებს შესაძლოა თან ერთოდეს:
ა) ინფორმაცია შემდეგ საკითხებზე კომუნიცირების შესახებ:
ა.ა) ეფექტიანი ინფორმაციული უსაფრთხოების და იუმს-ის მოთხოვნების აღსრულების მნიშვნელობა;
ა.ბ) პოლიტიკა;
ა.გ) უფლებამოსილებები და პასუხისმგებლობები;
ა.დ) იუმს-ის ფუნქციონირება;
ა.ე) მიზნები;
ა.ვ) იუმს-ის ეფექტიანობაში კონტრიბუცია;
ა.ზ) იუმს-ს მოთხოვნების შეუსრულებლობის შედეგები;
ა.თ) აუდიტის შედეგები.
ბ) ფორმალური კომუნიკაციების გეგმა, დოკუმენტირებული პროცედურები და შედეგები.
A.4.5. დოკუმენტირებული ინფორმაცია ოტს 27001:2021, 3.5.5.
A.4.5.1. ზოგადი დებულებები ოტს 27001:2021, 3.5.5.1
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.2.3, 3.3.2, 3.4.1.2, 3.4.1.3, 3.4.2, 3.5.2. დ), 3.6.1, 3.6.2, 3.6.3, 3.7.1, 3.7.2 ე), 3.7.3 და 3.8.1.
რელევანტური დეფინიციები
დოკუმენტირებული ინფორმაცია.
აუდიტორული მტკიცებულება
აუდიტის მტკიცებულება შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან, რომლებიც შექმნილია, კონტროლდება ან/და შენარჩუნებულია იუმს-ში, მათ შორის:
ა) მართვის სისტემის ფარგლები;
ბ) პოლიტიკა;
გ) მიზნები;
დ) კომპეტენციის მტკიცებულებები;
ე) გარე წყაროდან მომავალი ინფორმაცია, რომელიც აუცილებელია მართვის სისტემის დაგეგმვის და ოპერირებისთვის.
ვ) ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესი;
ზ) ინფორმაციული უსაფრთხოების რისკების მოპყრობის პროცესი;
თ) გამოყენებადობის განაცხადი;
ი) ინფორმაცია, რომ პროცესები და განსაზღვრული კონტროლები აღსრულებულია გეგმის შესაბამისად;
კ) ინფორმაციული უსაფრთხოების რისკების შეფასების შედეგები;
ლ) ინფორმაციული უსაფრთხოების რისკების მოპყრობის შედეგები;
მ) შედეგების მონიტორინგი, გაზომვა და ანალიზი;
ნ) შიდა აუდიტის პროგრამები და მათი აღსრულების მტკიცებულებები;
ო) მენეჯმენტის მიერ გადახედვის შედეგები;
პ) შეუსაბამობების ბუნება და მიღებული ზომები;
ჟ) მაკორექტირებელი ქმედებების შედეგები.
შესაძლებელია გამოყენებულ იქნეს დოკუმენტირებული ინფორმაცია, რომელიც თავდაპირველად არ შექმნილა ოტს 27001:2021-ის მოთხოვნების დაკმაყოფილების მიზნით.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციის იუმს-ი მოიცავს:
ა) ოტს 27001:2021-ით გათვალისწინებულ დოკუმენტაციას;
ბ) დოკუმენტირებულ ინფორმაციას, რომელიც ორგანიზაციის მიერ განისაზღვრება როგორც მნიშვნელოვანი იუმს-ის ეფექტიანობისთვის.
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია განსაზღვრავს იმ დოკუმენტირებულ ინფორმაციას, რომელიც სცდება ოტს 27001:2021-ის მოთხოვნების ფარგლებს, თუმცა აუცილებელია მისი იუმს-ის ეფექტიანობისთვის.
ტერმინი „დოკუმენტირებული ინფორმაცია“ მიემართება ინფორმაციას, რომლის კონტროლის და შენარჩუნების აუცილებლობასაც განსაზღვრულია ოტს 27001:2021-ის მიერ ნებისმიერ ფორმატით ან ნებისმიერ მატარებელზე (იხ. ოტს 27001:2021, 3.5.5.3.).
აუდიტორებმა უნდა დაადასტურონ, რომ დოკუმენტირებული ინფორმაცია შექმნილია და კონტროლდება ოტს 27001:2021, 3.5.5.2. და 3.5.5.3. პუნქტებით გათვალისწინებული მოთხოვნების შესაბამისად.
A.4.5.2. შექმნა და განახლება (ოტს 27001:2021, 7.5.2.)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.2.3, 3.3.2, 3.4.1.2, 3.4.1.3, 3.4.2, 3.5.2. დ), 3.6.1, 3.6.2, 3.6.3, 3.7.1, 3.7.2 ე), 3.7.3 და 3.8.1.
რელევანტური დეფინიციები
დოკუმენტირებული ინფორმაცია.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულება შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) საერთო ატრიბუტები, რომლებიც იძლევიან მკაფიო და უნიკალური იდენტიფიცირების საშულებას;
ბ) გამოყენებული ფორმატები და მედიასაშუალებები;
გ) ბოლო განახლების ან გადახედვის თარიღი;
დ) ცვლილებების ისტორია;
ე) შემმოწმებლის და დამამტკიცებლის ვინაობა.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ დოკუმენტირებული ინფორმაციის შექმნის და გადახედვის დროს, ორგანიზაცია უზრუნველყოფს სათანადო:
ა) აღწერას და იდენტიფიცირებას (მაგ.: თარიღი, ავტორი, ან ნომერი);
ბ) ფორმატს;
გ) დოკუმენტირებული ინფორმაციის სათანადოობის და ადეკვატურობის გადახედვას და დამტკიცებას.
შენიშვნა: იდენტიფიცირება, ფორმატი და მედიასაშულებების განსაზღვრა წარმოადგენს ორგანიზაციის დისკრეციას. არ არის აუცილებელი იგი წარმოდგენილი იყოს ტექსტური ფორმატის ან მატერიალური სახელმძღვანელოს სახით.
აუდიტორებმა უნდა ისარგებლონ შესაძლებლობით განახორციელონ ეს აუდიტამოცანები იმ შემთხვევებში, როდესაც მათ წარედგინებათ იუმს-ის ფარგლებში არსებული დოკუმენტირებული ინფორმაცია. აუცილებლი არ არის ამ ამოცანების განხორციელება ყველა შემთხვევაში და საკმარისია შემოწმება განხორციელდეს იმ რაოდენობის მაგალითების შესწავლით, რაც საკმარისია ოტს 27001:2021 3.5.5.2. მოთხოვნების დაკმაყოფილების განსასაზღვრად.
A.4.5.3. დოკუმენტირებული ინფორმაციის კონტროლი (ოტს 27001:2021, 3.5.5.3)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
27001:2021: 3.2.3, 3.3.2, 3.4.1.2, 3.4.1.3, 3.4.2, 3.5.2. დ), 3.6.1, 3.6.2, 3.6.3, 3.7.1, 3.7.2. ე), 3.7.3. და 3.8.1.
რელევანტური დეფინიციები
დოკუმენტირებული ინფორმაცია.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ აქტივობებთან დაკავშირებით:
ა) დისტრიბუცია, წვდომა, ამოღება და გამოყენება;
ბ) შენახვა და დაცვა;
გ) ცვლილებების კონტროლი;
დ) შენარჩუნება და განთავსება;
ე) დოკუმენტირებული ინფორმაციის სტრუქტურა და კონფიგურაცია.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ იუმს-ის მიერ მოთხოვილი ინფორმაცია კონტროლდება, რათა უზრუნველყოფილ იქნეს, რომ:
ა) იგი საჭიროების დროს ხელმისაწვდომი და გამოყენებადია;
ბ) ადეკვატურად დაცულია (მაგ.: კონფიდენციალობის დაკარგვისგან, არასწორი გამოყენებისგან, მთლიანობის დაკარგვისგან);
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია საჭიროებისამებრ იყენებს შემდეგ აქტივობებს:
ა) განაწილებას, წვდომას, ამოღებას და გამოყენებას;
ბ) შენახვას და დაცვას;
გ) ცვლილებების კონტროლს;
დ) შენარჩუნებას და განთავსებას.
აუდიტორებმა უნდა ისარგებლონ შესაძლებლობით, განახორციელონ ეს აუდიტამოცანები იმ შემთხვევებში, როდესაც მათ წარედგინებათ იუმს-ის ფარგლებში არსებული დოკუმენტირებული ინფორმაცია. აუცილებელი არ არის ამ ამოცანების განხორციელება ყველა შემთხვევაში და საკმარისია შემოწმება განხორციელდეს იმ რაოდენობის მაგალითების შესწავლით, რაც საკმარისია ოტს 27001:2021-ის მოთხოვნების დაკმაყოფილების განსასაზღვრად.
A.5. ოპერირება (27001:2021, პუნქტი 3.6.)
A.5.1. ოპერაციული დაგეგმვა და კონტროლი (27001:2021, პუნქტი 3.6.1.)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
27001:2021: 3.2.4, 3.4.1.1, 3.4.1.2, 3.4.1.3, 3.4.2, 3.5.5.1, 3.7.1 და 3.7.2
რელევანტური დეფინიციები
შედეგები, ინფორმაციული უსაფრთხოება, მიზანი, ორგანიზაცია, აუთსორსინგი, პროცესი, მოთხოვნა.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან, რომელიც:
ა) საჭიროა ორგანიზაციისთვის ჰქონდეს რწმენა, რომ ოპერაციული კონტროლის პროცესები ხორციელდება გეგმის შესაბამისად (ოტს 27001:2021, 3.6.1);
ბ) ორგანიზაციის მიერ განისაზღვრება როგორც საჭირო იუმს-ის ეფექტიანობისთვის (ოტს 27001:2021, 3.5.1.1. ბ));
გ) დაგეგმილია იუმს-ისთვის (ოტს 27001:2021, 3.4.1.1);
დ) შეეხება ინფორმაციული უსაფრთხოების მიზნებს (ოტს 27001:2021, 3.4.2.).
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია, მისი ოპერირების ფარგლებში, გეგმავს, აღასრულებს და აკონტროლებს პროცესებს, რომლებიც საჭიროა ინფორმაციული უსაფრთხოების მოთხოვნების აღსასრულებლად და იმის უზრუნველსაყოფად, რომ ოტს 27001:2021 მოთხოვნები დაკმაყოფილებულია და რომ ხორციელდება პრიორიტეტული რისკების და შესაძლებლობების მოპყრობა.
აუდიტორებმა უნდა დაადასტურონ, რომ ოპერაციული კონტროლი მოიცავს მეთოდებს და ინფორმაციული უსაფრთხოების აღსრულებულ კონტროლებს, რომელთა მიზანია უზრუნველყოფილ იქნეს ბიზნესოპერაციების, აქტივობების და აღჭურვილობის თავსებადობა კონკრეტულ მოთხოვნებთან და სტანდარტებთან და ამგვარად იუმს-ის დაგეგმილი შედეგების ეფექტიანი მიღწევა. ეს კონტროლები აწესებენ ტექნიკურ მოთხოვნებს, რომლებიც აუცილებლია ფუნქციონირების ოპტიმალური დონის მისაღწევად ბიზნესპროცესებისთვის (მაგ.: ტექნიკური სპეციფიკაციები ან ოპერაციული პარამეტრები ან განსაზღვრული მეთოდოლოგია).
შემოწმება უნდა განხორციელდეს იმ სიტუაციებისთვის, რომლებისთვისაც მოითხოვება ოპერაციული კონტროლის და ინფორმაციული უსაფრთხოების კონტროლების გამოყენება, იმ პროცესებთან დაკავშირებით, სადაც ოპერაციული კონტროლის და ინფორმაციული უსაფრთხოების კონტროლების არარსებობას შეუძლია გამოიწვოს პოლიტიკისგან ან მიზნებისგან გადახრა ან წარმოქმნას დაუშვებელი რისკი. ეს სიტუაციები შესაძლოა უკავშირდებოდეს ბიზნესპროცესებს, აქტივობებს ან პროცესებს, წარმოებას, ინსტალაციას ან სერვისებს, მხარდაჭერას, მომწოდებლებს ან ვენდორებს. კონტროლის განხორციელების დონე დამოკიდებულია სხვადასხვა ფაქტორზე, მათ შორის განხორციელებულ ფუნქციებზე, მათ კომპლექსურობაზე და სირთულეზე, გადახრების პოტენციურ შედეგებზე და ა.შ.
ამგვარად აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია:
ა) ახორციელებს ქმედებებს, რომლებიც განისაზღვრება რისკების და შესაძლებლობების მოპყრობის მიზნით განსახორციელებელი აქტივობებით (ოტს 27001:2021, 3.4.1.);
ბ) აღასრულებს გეგმებს ინფორმაციული უსაფრთხოების მიზნების მისაღწევად (ოტს 27001:2021, 3.4.2.);
გ) დოკუმენტირებული ინფორმაციის მოთხოვნების (ოტს 27001:2021, 3.5.5) შესაბამისად ქმნის და აკონტროლებს დოკუმენტაციას, რომელიც აუცილებელია რწმენის მისაღწევად, რომ ოპერაციული კონტროლის პროცესები და ინფორმაციული უსაფრთხოების კონტროლები განხორციელდა გეგმის შესაბამისად;
დ) აკონტროლებს დაგეგმილ ცვლილებებს და გადახედავს დაუგეგმავი ცვლილებების შედეგებს, რათა შემცირებულ იქნეს ტექნიკური მოთხოვნების შეუსრულებლობის შანსი ან ახალი რისკების წარმოშობა;
ე) ახორციელებს საჭირო ქმედებებს ოპერაციული კონტროლების ჩავარდნით გამოწვეული არასასურველი ეფექტების შედეგებთან მოპყრობის მიზნით;
ვ) უზრუნველყოფს, რომ აუთსორსირებული პროცესები იყოს განსაზღვრული და გაკონტროლებული.
A.5.2. ინფორმაციული უსაფრთხოების რისკების შეფასება (ოტს 27001:2021, 3.6.2.)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.4.1.2.
რელევანტური დეფინიციები
ინფორმაციული უსაფრთხოება.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულებები შეიძლება მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) იუმს-ის დაგეგმვა (ოტს 27001:2021, 3.4.1.1.);
ბ) ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესი (ოტს 27001:2021, 3.4.1.2.);
გ) ინფორმაციული უსაფრთხოების რისკების შეფასების შედეგები (ოტს 27001:2021, 3.6.2.);
დ) გამოყენებადობის განაცხადი;
ე) რისკების მოპყრობის გეგმა.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესი, რომელიც განისაზღვრება ოტს 27001:2021-ით აღსრულებულია და ინტეგრირებულია ორგანიზაციის ოპერაციებში და ხორციელდება პერიოდულად, ან როდესაც ადგილი აქვს მნიშვნელოვან დაგეგმილ ან დაუგეგმავ ცვლილებებს, რა დროსაც მხედველობაში მიიღება ოტს 27001:2021, 3.4.1.2. ა) პუნქტის მოთხოვნები;
აუდიტორებმა უნდა დაადასტურონ, რომ:
ა) დაგეგმილი პერიოდულობა, რომლითაც ხორციელდება რისკების შეფასება შეესაბამება იუმს-ს;
ბ) იუმს-ში (ან მის კონტექსტში) მომხდარი ცვლილების ან ინფორმაციული უსაფრთხოების ინციდენტების შემთხვევაში ორგანიზაცია განსაზღვრავს ამ ცვლილებებიდან ან ინციდენტებიდან რომელი მოითხოვს ინფორმაციული უსაფრთხოების რისკების დამატებით შეფასებას.
დამატებითი ინფორმაციისთვის იხილეთ აუდიტის პრაქტიკული სახელმძღვანელო A.3.1.2.
A.5.3. ინფორმაციული უსაფრთხოების რისკების მოპყრობა (ოტს 27001:2021, 3.6.3.)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები; ოტს:27002:2021
ოტს 27001:2021, 3.4.1.3, ოტს 27002:2021
რელევანტური დეფინიციები
კონტროლი, კონტროლის მიზნები, დოკუმენტირებული ინფორმაცია, ინფორმაციული უსაფრთხოება, ნარჩენი რისკი, რისკების შეფასება, რისკის კრიტერიუმი, რისკის მფლობელი, რისკის მოპყრობა.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულება შესაძლოა მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) იუმს-ის დაგეგმვა;
ბ) ინფორმაციული უსაფრთხოების რისკების მოპყრობის პროცესი;
გ) რისკების მოპყრობის გეგმები;
დ) ინფორმაციული უსაფრთხოების რისკების მოპყრობის შედეგები;
ე) გამოყენებადობის განაცხადი.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ინფორმაციული უსაფრთხოების რისკების მოპყრობის პროცესი, რომელიც განისაზღვრება იუმს-ის გეგმით (ოტს 27001:2021, 3.4.1.) აღსრულებულია და ინტეგრირებულია ორგანიზაციის ოპერაციებში და აღსრულდება ინფორმაციული უსაფრთხოების რისკების შეფასების პროცესის ყოველი გამეორების შემდეგ (ოტს 27001:2021, 3.6.2.) ან რისკების მოპყრობის ჩავარდნის შემთხვევაში.
დამატებითი ინფორმაციისთვის იხილეთ A.3.1.3.
A.6. ფუნქციონირების შეფასება (ოტს 27001:2021, პუნქტი 3.7.)
A.6.1.მონიტორინგი, გაზომვა, ანალიზი და შეფასება (ოტს 27001:2021, 3.7.1.)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.3.3, 3.4.1.1., 6.2.
რელევანტური დეფინიციები
განგრძობადი გაუმჯობესება, ეფექტიანობა, გაზომვა, მონიტორინგი, ფუნქციონირება, ინფორმაციული უსაფრთხოების შემთხვევა, ინფორმაციული უსაფრთხოების ინციდენტი, ინფორმაციის საჭიროება.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულება შესაძლოა მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან მონიტორინგის, გაზომვის, ანალიზის და შეფასების შედეგების შესახებ (იხ. ოტს 27001:2021, 3.7.1).
მტკიცებულებები ასევე შესაძლებელია მოპოვებული იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროდან შემდეგ საკითხებზე:
ა) ინფორმაციული უსაფრთხოების მიზნები შესაბამის ფუნქციებზე და დონეებზე;
ბ) ინფორმაციული უსაფრთხოების მიღწევის გზების დაგეგმვა;
გ) სტატუსი და ფარგლები, რომლებშიც აღსრულდება ინფორმაციული უსაფრთხოების მიზნები;
დ) იუმს-ის ფუნქციონირების მოხსენება უმაღლესი მენეჯმენტისთვის;
ე) რისკის შეფასების შედგები და რისკის მოპყრობის გეგმის სტატუსი;
ვ) მონიტორინგის, გაზომვის, ანალიზის და შეფასების მეთოდები;
ზ) მენეჯმენტის მიერ გადახედვა და მენეჯმენტის მიერ გადახედვის შედეგები;
თ) ინფორმაციული უსაფრთხოების გადახედვის მოხსენებები;
ი) ინფორმაციული უსაფრთხოების სისუსტეების მოხსენებები;
კ) ინფორმაციული უსაფრთხოების ინციდენტების მოხსენებები.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაციამ:
ა) შეაფასა ინფორმაციული უსაფრთხოების ფუნქციონირება და მისი იუმს-ის ეფექტიანობა;
ბ) განსაზღვრა:
ბ.ა) რა უნდა დაექვემდებაროს მონიტორინგს და გაზომვას (რაოდენობრივად ან ხარისხობრივად), მათ შორის ინფორმაციული უსაფრთხოების პროცესები და კონტროლები;
ბ.ბ) მონიტორინგის, გაზომვის, ანალიზის და შეფასების მეთოდები ვალიდური შედეგების მისაღებად;
ბ.გ) როდის უნდა განხორციელდეს მონიტორინგი და გაზომვა;
ბ.დ) ვინ უნდა განახორციელოს მონიტორინგი და გაზომვა;
ბ.ე) როდის უნდა გაანალიზდეს და შეფასდეს მონიტორინგის და გაზომვის შედეგები;
ბ.ვ) ვინ ახორციელებს ამ შედეგების ანალიზს და შეფასებას.
აუდიტორებმა უნდა გადახედონ ინფორმაციული უსაფრთხოების ფუნქციონირებას, ისეთი დოკუმენტური მტკიცებულებების გამოყენებით, როგორიც არის გეგმები, მოხსენებები უმაღლესი მენეჯმენტისთვის იუმს-ის ფუნქციონირების შესახებ, შიდა აუდიტის მოხსენებები და ინფორმაციული უსაფრთხოების შემთხვევების, სისუსტეების და ინფორმაციული უსაფრთხოების ინციდენტების მოხსენებები.
აუდიტორებმა ასევე უნდა შეაფასონ, თუ როგორ ხდება შეუსაბამობების, დამუშავების ხარვეზების, ინფორმაციული უსაფრთხოების დარღვევების და სხვა ინციდენტების წინასწარ განჭვრეტა, გამოვლენა, მოხსენება და მოპყრობა. აუდიტორებმა უნდა განსაზღვრონ, თუ როგორ აფასებს ორგანიზაცია მის მიერ განხორციელებული ქმედებების ეფექტიანობას, რომლებიც ხორციელდება რისკების და შესაძლებლობების მოპყრობის მიზნით იმის უზრუნველსაყოფად, რომ ინფორმაციული უსაფრთხოების კონტროლები, რომლებიც განისაზღვრება რისკების მოპყრობით, ეფექტიანად არის აღსრულებული და ფუნქციონირებს.
აუდიტორებმა ასევე უნდა შეაფასონ ინფორმაციული უსაფრთხოების ფუნქციონირების შეფასებები, რომლებიც გამოიყენება იუმს-ის განგრძობადი გაუმჯობესების მიზნით. აუდიტორებმა ასევე უნდა დაადასტურონ, რომ ცვლილებები და შედეგები აისახება რისკების შეფასების და რისკების მოპყრობის პროცესებში. დამატებით, აუდიტორებმა უნდა დაადასტურონ, რომ დოკუმენტირებული ინფორმაცია იმ ქმედებების შესახებ, რომლებიც ხორციელდება რისკების და შესაძლებლობების მოპყრობის მიზნით განახლებულია.
აუდიტორებმა უნდა შეამოწმონ, რომ ინფორმაცია იმ მახასიათებლების შესახებ, რომელთა მონიტორინგი, გაზომვა, ანალიზი და შეფასებაც ხორციელდება არის საჭირო და საკმარისი იმის შესახებ სამსჯელოდ, თუ რამდენად არის იუმს-ით დაგეგმილი აქტივობები განხორციელებული და დაგეგმილი შედეგები მიღწეული. აუდიტორებმა უნდა დაადასტურონ, რომ მონიტორინგის, გაზომვის, ანალიზის ან შეფასების შედეგად მიღებული ინფორმაცია წარედგინება უმაღლეს მენეჯმენტს, მენეჯმენტის მიერ გადახედვის მოთხოვნის შესაბამისად (ოტს 27001:2021, 3.7.3.).
A.6.2. შიდა აუდიტი (ოტს 27001:2021, 3.7.2)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
27001:2021, 3.7.3.
რელევანტური დეფინიციები
აუდიტი, აუდიტის ფარგლები, კომპეტენცია.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულება შესაძლოა მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) შიდა აუდიტის პროგრამ(ებ)ა;
ბ) შიდა აუდიტის გეგმები;
გ) შიდა აუდიტის შედეგები;
დ) შიდა აუდიტორების კომპეტენცია;
ე) მენეჯმენტის მიერ გადახედვის შედეგები.
აუდიტის პრაქტიკული სახელმძღვანელო
შენიშვნა: აღნიშნული პუნქტი წარმოადგენს გარე აუდიტის სახელმძღვანელოს ან შესაძლოა გამოყენებულ იქნეს შიდა აუდიტის თვითშემოწმების/შეფასების მიზნებისთვის.
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია გეგმავს, აღასრულებს და ინარჩუნებს შიდა აუდიტის პროგრამებს ინფორმაციის მისაღებად იმის თაობაზე, შეესაბამება თუ არა იუმს-ი ოტს 27001:2021-ის მოთხოვნებს ან მოთხოვნებს, რომლებიც ორგანიზაციის მიერ იქნა სავალდებულოდ აღიარებული და არის თუ არა იუმს-ი ეფექტიანად აღსრულებული და მხარდაჭერილი გეგმის შესაბამისად.
აუდიტორებმა უნდა შეამოწმონ, რომ:
ა) შიდა აუდიტი დაგეგმილია პროცესების მნიშვნელობის და წინა აუდიტის შედეგების გათვალისწინებით;
ბ) შიდა აუდიტის დაგეგმვის და ჩატარების მიდგომები განსაზღვრულია;
გ) როლები და პასუხისმგებლობები აუდიტის პროგრამის შიგნით განაწილებულია შიდა აუდიტის პროცესის დამოუკიდებლობის და მთლიანობის მოთხოვნების გათვალისწინებით;
დ) აუდიტის მიზნები, აუდიტის კრიტერიუმები და აუდიტის ფარგლები განსაზღვრულია ყოველი დაგეგმილი აუდიტისთვის;
ე) იგი შექმნილია იმის შემოწმების მიზნით, რომ იუმს-ი:
ე.ა) შეესაბამება ოტს 27001:2021-ს მოთხოვნებს;
ე.ბ) შეესაბამება ორგანიზაციის საკუთარ მოთხოვნებს;
ვ) იგი შექმნილია იმის შემოწმების მიზნით, რომ იუმს-ი ეფექტიანად არის აღსრულებული და მხარდაჭერილი.
აუდიტის კრიტერიუმის მაგალითად შესაძლებელია მოყვანილ იქნეს რეფერირების წყარო (მაგ.: პოლიტიკა, პროცედურა და მოთხოვნები), რომლებთან მიმართებაშიც მოხდება შესაბამისი ჩანაწერების, ფაქტის განცხადების ან სხვა ინფორმაციის შედარება. აუდიტის ფარგლები შესაძლოა მოიცავდეს აღწერას ფიზიკური ლოკაციების, ორგანიზაციული დანაყოფების, აქტივობების და პროცესების, ისევე როგორც აუდიტით მოცული დროის პერიოდის მიხედვით.
აუდიტორებმა უნდა დაადასტურონ, რომ შიდა აუდიტის პროგრამა და აუდიტები დაგეგმილი, აღსრულებული და მხარდაჭერილია შიდა პერსონალის მიერ, ან იმართება გარე პირების მიერ, რომლებიც მოქმედებენ ორგანიზაცის სახელით. ორივე შემთხვევაში აუდიტორებმა უნდა დაადასტურონ, რომ პირების შერჩევა, რომლებიც მართავენ შიდა აუდიტის პროგრამას და აუდიტორები, რომლებიც ახორციელებენ შიდა აუდიტს აკმაყოფილებენ კომპეტენციასთან დაკავშირებულ მოთხოვნებს (ოტს 27001:2021, 3.5.2., 3.7.2).
აუდიტორებმა უნდა დაადასტურონ, რომ შიდა აუდიტის შედეგები მოხსენდება მენეჯმენტს, რომელიც პასუხისმგებელია აუდიტს დაქვემდებარებულ ფუნქციებზე/დანაყოფზე და ყველა სხვა პირს, რომელიც უნდა იქნეს ინფორმირებული კომუნიცირების შესახებ მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.5.4.). აუდიტორებმა უნდა დაადასტურონ, რომ ინფორმაცია შიდა აუდიტის შედეგების შესახებ გადაიხედება მენეჯმენტის მიერ გადახედვის მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.7.3.).
A.6.3. მენეჯმენტის მიერ გადახედვა (ოტს 27001:2021, 3.7.3)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.2.1, 3.2.2, 3.6.2, 3.6.3, 3.7.1, 3.7.2, 3.8.1 და 3.8.2.
რელევანტური დეფინიციები
განგრძობადი გაუმჯობესება, ეფექტიანობა, ფუნქციონირება.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულება შესაძლოა მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) პერიოდული გადახედვა;
ბ) მენეჯმენტის მიერ წინა გადახედვიდან გამომდინარე ქმედებების სტატუსი;
გ) ცვლილებები გარე და შიდა საკითხებში, რომლებიც რელევანტურია იუმს-ისთვის;
დ) უკუგება ინფორმაციული უსაფრთხოების ფუნქციონირებაზე, მათ შორის შეუსაბამობების და მაკორექტირებელი ქმედებების, მონიტორინგის და გაზომვის შედეგების, აუდიტის შედეგების და ინფორმაციული უსაფრთხოების მიზნების მიღწევაზე;
ე) უკუგება დაინტერესებული მხარეების მხრიდან;
ვ) რისკების შეფასების შედეგები და რისკების მოპყრობის გეგმის სტატუსი;
ზ) განგრძობადი გაუმჯობესების შედეგები.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ უმაღლესმა მენეჯმენტმა განახორციელა გადახედვა, გადახედვის დაგეგმილი გრაფიკით გათვალისწინებული ინტერვალების შესაბამისად.
აუდიტორებმა უნდა დაადასტურონ, რომ უმაღლესი მენეჯმენტი პირადად არის ჩართული ამ გადახედვაში, ახორციელებს იუმს-ში ცვლილებებს და განსაზღვრავს განგრძობადი გაუმჯობესების პრიორიტეტებს.
აუდიტორებმა უნდა შეამოწმონ, რომ მენეჯმენტის მიერ გადახედვა მოიცავს ყველა საკითხს, რომელიც გათვალისწინებულია A.6.3. აუდიტორული მტკიცებულების გრაფით.
აუდიტორებმა ასევე უნდა დაადასტურონ, რომ მენეჯმენტის მიერ გადახედვის შედეგები მოიცავს გადაწყვეტილებებს იუმს-ის განგრძობადი გაუმჯობესების პრიორიტეტების და მასში ცვლილებების საჭიროების შესახებ.
A.7. გაუმჯობესება (ოტს 27001:2021, პუნქტი 3.8)
A. 7.1. შეუსაბამობა და მაკორექტირებელი ქმედებები (3.8.1.)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.5.5, 3.6.1, 3.8.2.
რელევანტური დეფინიციები
კორექცია, მაკორექტირებელი ქმედება, ეფექტიანობა, შეუსაბამობა.
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულება შესაძლოა მოპოვებული იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) შეუსაბამობების ბუნება და განხორციელებული ქმედებები;
ბ) მაკორექტირებელი ქმედებების შედეგები;
გ) მონიტორინგის და გაზომვის შედეგები;
დ) აუდიტის პროგრამები და აუდიტის შედეგები;
ე) მენეჯმენტის მიერ გადახედვის შედეგები;
ვ) დაინტერსებული მხარეების მოთხოვნები დაკავშირებული ინფორმაციულ უსაფრთხოებასთან;
ზ) მაკორექტირებელი ქმედებებით გამოწვეული ცვლილებები იუმს-ში.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ:
ა) ორგანიზაცია ახდენს რეაგირებას ოტს 27001:2021-ის და იუმს-ის მოთხოვნებთან შეუსაბამობების იდენტიფიცირებისას;
ბ) შეუსაბამობა და მაკორექტირებელი ქმედებები მოიცავს ქმედებებს სიტუაციის კორექტირების მიზნით, ასევე გამომწვევი მიზეზის იდენტიფიცირებას, სხვა შემთხვევების არსებობის გამოვლენას ან პოტენციური არსებობის განსაზღვრას და მათი თავიდან აცილებისთვის საჭირო ქმედებების განხორციელებას;
გ) ორგანიზაციის რეაგირება მოიცავს ქმედებების შეფასებას, რომლებიც ხორციელდება დაგეგმილი მიზნების მიღწევის დადასტურების მიზნით და იუმს-ის შეფასებას იმის განსაზღვრის მიზნით, განხორციელებული ცვლილებები განაპირობებს თუ არა მომავალში შეუსაბამობების თავიდან არიდებას;
დ) შეუსაბამობების, მაკორექტირებელი ქმედების და შედეგების დოკუმენტაცია შედგენილია და კონტროლდება ინფორმაციის დოკუმენტირების შესახებ მოთხოვნების შესაბამისად (იხ. ოტს 27001:2021, 3.5.5.).
A.7.2. განგრძობადი გაუმჯობესება (ოტს 27001:2021, 3.8.2.)
ოტს 27001:2021-ის დაკავშირებული პუნქტები და ქვეპუნქტები
ოტს 27001:2021, 3.3.1, 3.3.2, 3.4.1, 3.4.2, 3.5.1, 3.6.1, 3.7.1, 3.7.2, 3.7.3, 3.8.1.
რელევანტური დეფინიციები
განგრძობადი გაუმჯობესება, ეფექტიანობა, ფუნქციონირება
აუდიტორული მტკიცებულება
აუდიტორული მტკიცებულება შესაძლოა მოპოვებულ იქნეს დოკუმენტირებული ინფორმაციიდან ან ინფორმაციის სხვა წყაროებიდან შემდეგ საკითხებზე:
ა) შეუსაბამობის ბუნება და განხორციელებული ქმედებები, მათ შორის მაკორექტირებელი ქმედებების შესახებ მოხსენება;
ბ) მაკორექტირებელი ქმედებების შედეგები;
გ) მონიტორინგის და გაზომვის შედეგები;
დ) აუდიტის პროგრამები და აუდიტის შედეგები;
ე) მენეჯმენტის გადახედვის შედეგები;
ვ) დაინტერესებული მხარეების მოთხოვნები დაკავშირებული ინფორმაციულ უსაფრთხოებასთან;
ზ) ინფორმაციული უსაფრთხოების შემთხვევებთან და ინციდენტებთან დაკავშირებით მიღებული გადაწყვეტილებები.
აუდიტის პრაქტიკული სახელმძღვანელო
აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია ახორციელებს განმეორებად აქტივობებს იუმს-ის სათანადოობის, ადეკვატურობის და ეფექტიანობის გაზომვადი შედეგების გასაუმჯობესებლად.
აუდიტორებმა უნდა გადახედონ და განსაზღვრონ, რომ განგრძობადი გაუმჯობესება მოიცავს იუმს-ის დიზაინში და აღსრულებაში ცვლილებების შეტანას, რაც მიზნად ისახავს ორგანიზაციის მიერ იუმს-ის მოთხოვნების აღსრულების და პოლიტიკით განსაზღვრული მიზნების და ვალდებულებების აღსრულების შესაძლებლობის გაუმჯობესებას. აუდიტორებმა უნდა დაადასტურონ, რომ ორგანიზაცია:
ა) აღასრულებს ქმედებებს გაუმჯობესების მიზნით, მათ შორის:
ა.ა) ახორციელებს ქმედებებს, რათა მოეპყრას რისკებს და შესაძლებლობებს (ოტს 27001:2021, 3.4.1);
ა.ბ) განსაზღვრავს მიზნებს (ოტს 27001:2021, 3.4.2);
ა.გ) ახდენს ოპერაციული კონტროლების გაუმჯობესებას ახალი ტექნოლოგიების, მეთოდების ან ინფორმაციის გათვალისწინებით (ოტს 27001:2021, 3.6.1);
ა.დ) ახდენს ფუნქციონირების ანალიზს და შეფასებას (ოტს 27001:2021, 3.7.1);
ბ) ატარებს შიდა აუდიტს (ოტს 27001:2021, 3.7.2);
გ) ახდენს მენეჯმენტის მიერ გადახედვას (ოტს 27001:2021, 3.7.3);
დ) ახდენს შეუსაბამობების გამოვლენას და აღასრულებს მაკორექტირებელ ქმედებებს (ოტს 27001:2021, 3.8.1);
ე) პერიოდულად ახდენს იუმს-ის ეფექტიანობის შეფასებას მონიტორინგის, გაზომვის, ანალიზის და შეფასების მოთხოვნების შესაბამისად (ოტს 27001:2021, 3.7.1), შიდა აუდიტს (ოტს 27001:2021, 3.7.2) და მენეჯმენტის მიერ გადახედვას (ოტს 27001:2021, 3.7.3), რათა გამოავლინოს გაუმჯობესების შესაძლებლობები და გეგმავს სათანადო ღონისძიებებს რისკების და შესაძლებლობების მოპყრობის მიზნი