ВИО.22 Организация и выполнение деятельности по переоценке риска реализации информационных угроз на основе:

ВИО.2 Организация и выполнение деятельности по проведению периодической (как минимум ежегодной) самооценки риска реализации информационных угроз.

 9.2.2 Программа(ы) аудита 
Организация должна: 

PR.IP-7: Процессы защиты постоянно улучшаются 

9.1 Мониторинг, оценка защищенности, анализ и оценивание
Организация должна определить:

Документированная информация должна быть доступна в качестве свидетельств достижения результатов.
Организация должна оценивать исполнение информационной безопасности и эффективность системы менеджмента информационной безопасности.

9.2.2 Программа внутреннего аудита
Организация должна планировать, разрабатывать, внедрять и поддерживать программу (-ы) аудита, включающую частоту, методы, ответственности, требования по планированию и отчету.
При разработке программы (-мм) внутреннего аудита организация должна учитывать важность соответствующих процессов и результаты предыдущих аудитов.
Организация должна:

Должна быть доступна документированная информация, подтверждающая выполнение программы (-мм) аудита и достижения результатов аудита.

 9.1 Мониторинг, оценка защищенности, анализ и оценивание
Организация должна оценивать деятельность по обеспечению информационной безопасности, а также результативность системы менеджмента информационной безопасности.
Организация должна определить:
а) объекты мониторинга и оценки защищенности, включая процессы, меры обеспечения информационной безопасности;
b) методы проведения мониторинга, оценки защищенности, анализа и оценивания, обеспечивающие уверенность в достоверности результатов.
Примечание — Допустимыми признаются методы, дающие сопоставимые и воспроизводимые результаты;
с) когда проводить мониторинг и оценку защищенности; 
d) кто должен осуществлять мониторинг и оценку защищенности; 
е) когда анализировать результаты мониторинга и оценки защищенности; 
f) кто должен осуществлять анализ и оценивание этих результатов. 
Организация должна хранить соответствующую документированную информацию в качестве свидетельства результатов мониторинга и оценки защищенности. 

9.2 Внутренний аудит Организация должна проводить внутренние аудиты через запланированных интервалы времени, чтобы получать информацию о том, 
a) соответствует ли система менеджмента информационной безопасности 
1) собственным требованиям организации к ее системе менеджмента информационной безопасности; и 
2) требованиям Настоящего Международного Стандарта; 
b) что система менеджмента информационной безопасности результативно внедрена и функционирует. Организация должна: 
c) планировать, разрабатывать, выполнять и управлять программой(ами) аудитов, включая периодичность их проведения, методы, ответственность, требования к планированию и отчетности. Программа (ы) аудитов должна учитывать значимость проверяемых процессов и результаты предыдущих аудитов; 
d) определить критерии и область аудита для каждой проверки; 
e) выбирать аудиторов и проводить аудиты так, чтобы гарантировать объективность и беспристрастность процесса аудита; 
f) гарантировать, что результаты аудитов переданы на соответствующим руководителям, и 
g) сохранять документированную информацию как подтверждение программы аудита и его результатов.
f) обеспечивать предоставление результатов аудитов соответствующим руководителям организации; 
g) хранить документированную информацию в качестве свидетельств реализации программ(ы) аудита и результатов аудита. 

A.18.2.1 Независимая проверка информационной безопасности 
Мера обеспечения информационной безопасности: Подход организации к менеджменту информационной безопасностью и ее реализация (т. е. цели, меры и средства, политики, процессы и процедуры информационной безопасности) следует проверять независимо друг от друга через запланированные интервалы времени или в случае значительных изменений 

9.1 Monitoring, measurement, analysis and evaluation
The organization shall determine:

Documented information shall be available as evidence of the results.
The organization shall evaluate the information security performance and the effectiveness of the information security management system.

9.2.2 Internal audit programme
The organization shall plan, establish, implement and maintain an audit programme (s), including the frequency, methods, responsibilities, planning requirements and reporting.
When establishing the internal audit programme (s), the organization shall consider the importance of the processes concerned and the results of previous audits.
The organization shall:

Documented information shall be available as evidence of the implementation of the audit programme (s) and the audit results.

А.5.35 Независимые проверки ИБ
Принятый в организации подход к управлению ИБ и его реализация, включая людей, процессы и технологии, должны подвергаться независимой проверке через запланированные интервалы времени или в случае существенных изменений.

Подход организации к менеджменту ИБ и ее реализация (т.е. цели, меры и средства, политики, процессы и процедуры ИБ) должны проверяться независимо друг от друга через запланированные интервалы времени или в случае значительных изменений.

Руководство должно инициировать проведение независимой проверки. Такая независимая проверка необходима для обеспечения постоянной пригодности, адекватности и эффективности подхода организации к управлению ИБ. Проверка должна включать оценку возможностей для улучшения и необходимости изменений в подходе к безопасности, включая задачи политики и мер обеспечения ИБ.

Такая проверка должна выполняться лицами, не связанными с проверяемой областью, например теми, кто проводит внутренние аудиты, независимыми руководителями или сторонними организациями, специализирующимися на проведении таких проверок. Лица, проводящие проверки, должны иметь соответствующие навыки и опыт.

Результаты независимой проверки должны быть задокументированы и доведены до сведения руководства, которое инициировало проверку. Эти записи должны сохраняться.

Если независимая проверка выявляет, что подход организации и реализация управления ИБ недостаточны, например документированные цели и требования не выполняются или не соответствуют направлению ИБ, установленному в политиках ИБ (см. 5.1.1), руководство должно рассмотреть необходимость корректирующих действий.

ИСО/МЭК 27007 [12] "Руководство по аудиту систем управления информационной безопасностью" и ИСО/МЭК ТО 27008 [13] "Руководство для аудиторов по мерам обеспечения информационной безопасности" также предоставляют руководства для проведения независимой проверки.

А.5.35 Independent review of information security
The organization’s approach to managing information security and its implementation including people, processes and technologies shall be reviewed independently at planned intervals, or when significant changes occur.