Расчёт показателей оценки соответствия информационной безопасности в соответствии с СТО БР ИББС 1.0-2014

Анализ документов — анализ документации проверяемой организации с целью определения соответствия документации предприятия критериям аудита и требованиям стандартов. Анализ может осуществляться в сочетании с другими видами деятельности по аудиту и может продолжаться по ходу выполнения мероприятий аудита, если это не сказывается негативным образом на результативности проведения аудита.
Сбор и верификация информации – информация, получаемая в ходе аудита, должна быть проверена на истинность, т.е. верифицирована. Если сведения подтвердить не удалось, они не включаются в отчет.
Формирование выводов аудита – свидетельства аудита сопоставляются и оцениваются относительно критериев аудита. Выводы аудита могут указывать на соответствие или несоответствие критериям аудита. В случае, если это не может быть гарантировано, руководитель группы по аудиту имеет право отказать наблюдателям в участии в некоторых мероприятиях аудита.
Подготовка заключения – заключение аудита содержит информацию о степени соответствия критериям аудита; эффективности внедрения, поддержания и улучшения системы менеджмента ИБ; возможности процесса анализа со стороны руководства для обеспечения постоянной пригодности системы менеджмента ИБ, ее адекватности, эффективности и улучшения; корневые причины выявленных фактов (наблюдений); сопоставление и обобщение аналогичных или схожих по своему характеру фактов, выявленных при проведении аудита в различных областях, для определения тенденций (трендов).
Заключительное совещание – представляются выводы и заключения аудита для признания проверяемой организацией.
Целью методики СТО БР-ИББС-1.2-2014 является стандартизация подходов и способов оценки соответствия обеспечения ИБ организации БС РФ требованиям СТО БР ИББС-1.0 по направлениям оценки:
текущий уровень ИБ организации;
менеджмент ИБ организации;
уровень осознания ИБ организации.
Задачами методики являются:
определение состава показателей ИБ и способов их оценивания;
определение способа оценивания текущего уровня ИБ организации с помощью установления степени выполнения требований, определенных в разделе 7 СТО БР ИББС-1.0;
определение способа оценивания менеджмента ИБ организации и уровня осознания ИБ организации с помощью установления степени выполнения требований, определенных в разделе 8 СТО БР ИББС-1.0;
определения итогового уровня соответствия ИБ организации требованиям СТО БР ИББС-1.0.