ISO IEC 27007-2020 PDF

Полное наименование и описание

ISO/IEC 27007:2020 — Information security, cybersecurity and privacy protection — Guidelines for information security management systems auditing. Стандарт даёт рекомендации по управлению программой аудита SMSI (ISMS), проведению аудитов и компетентности аудиторских команд, дополняя руководящие принципы, изложенные в ISO 19011.

Аннотация

Документ предназначен для организаций, внутренних и внешних аудиторов, органов по сертификации и лиц, управляющих программами аудита SMSI. Он охватывает планирование и управление программой аудитов, подготовку и проведение аудитов, оценку компетентности аудиторов и отчётность о результатах.

Общая информация

• Статус: Published (действующий международный стандарт).
• Дата публикации: 21 января 2020 г.
• Организация-издатель: ISO и IEC; технический комитет ISO/IEC JTC 1/SC 27.
• ICS / категории: 35.030 (IT Security); 03.120.20 (Product and company certification / Conformity assessment).
• Редакция / версия: Edition 3 (2020).
• Количество страниц: 39.

Сведения о статусе, дате издания, редакции и объёме указаны в официальных записях издателей стандарта.

Область применения

Рекомендации применимы к тем, кто разрабатывает, осуществляет или контролирует внутренние и внешние аудиты SMSI, а также к организациям, которые хотят управлять программой аудита SMSI или оценивать компетентность аудиторов в контексте информационной безопасности, кибербезопасности и защиты персональных данных. Стандарт дополняет ISO 19011 и не заменяет требования к сертификации ISMS.

Ключевые темы и требования

• Управление программой аудитов SMSI: цели, политика, ресурсы и мониторинг.
• Планирование и подготовка аудитов: объём, критерии, оценка рисков и план проверки.
• Проведение аудита: методы сбора доказательств, интервью, выборки и управление несоответствиями.
• Оценка и отчётность: формирование выводов, отчётов и рекомендаций по улучшению.
• Компетентность аудиторов: требуемые знания, навыки, поведение и непрерывное развитие.
• Взаимодействие с ISO 19011 и соответствие требованиям сертификации (взаимодополняемость).

Основные темы отражают структуру руководящих указаний по аудиту SMSI и практики, рекомендованные рабочей группой SC 27.

Применение и пользователи

Типичные пользователи: внутренние и внешние аудиторы ISMS, менеджеры по безопасности, органы по сертификации и аккредитации, консультанты по информационной безопасности, лица, ответственные за соответствие и управление рисками, а также образовательные организации, готовящие аудиторов. Стандарт применяется в любых организациях, внедривших или планирующих внедрить ISMS.

Связанные стандарты

Часто используемые в связке со стандартом: ISO/IEC 27001 (требования к ISMS), ISO/IEC 27002 (контроли информационной безопасности), ISO 19011 (руководство по аудиту систем менеджмента), ISO/IEC 27006 (требования к органам по сертификации ISMS), а также профильные стандарты серии ISO/IEC 27000. Эти документы дополняют и уточняют практические и сертификационные аспекты аудита ISMS.

Ключевые слова

ISMS; аудит; программа аудита; компентность аудиторов; информационная безопасность; кибербезопасность; защита персональных данных; ISO 19011; сертификация.

FAQ

В: Что это за стандарт?

О: Руководство с практическими рекомендациями по планированию, проведению и управлению аудитами систем менеджмента информационной безопасности (ISMS).

В: Что он регулирует?

О: Не является нормативным документом требований к ISMS; даёт рекомендации по аудиторским процедурам, управлению программой аудитов и критериям компетентности аудиторов.

В: Кто обычно использует?

О: Внутренние и внешние аудиторы, менеджеры по информационной безопасности, органы по сертификации, консультанты и организации, внедряющие ISMS.

В: Он актуален или заменён?

О: ISO/IEC 27007:2020 остаётся действующей редакцией, однако по информации издателя разработан рабочий проект новой редакции (AWI / CD), призванный заменить издание 2020 года; рекомендуется проверять официальные уведомления ISO/IEC на предмет публикации обновлённой редакции.

В: Это часть серии?

О: Да — входит в семейство ISO/IEC 27000, посвящённое управлению информационной безопасностью, и тесно связана с ISO/IEC 27001, ISO/IEC 27002 и другими документами серии.

В: Какие ключевые слова?

О: Аудит ISMS, ISMS, аудит, компетентность аудиторов, программа аудита, информационная безопасность, кибербезопасность, защита данных.