Практическое задание № 6.4

Реальные ситуации. Определение несоответствий.

Цель: Познакомиться с возможными ситуациями во время аудита. Получить навыки по оценке несоответствия.

Задача: Определить по каждой ситуации соответствие-несоответствие. В случае обнаружения несоответствия классифицировать его как критичное-некритичное. В случае отсутствия несоответствия классифицировать как наблюдение или рекомендацию.

Ситуация 1. Во время аудита в Отделе Обработки Данных были проверены записи об обучении персонала по информационной безопасности. Записи имелись в наличии. Оформлены корректно. Отсутствовала только запись об обучении администратора системы. После разговора с администратором системы обнаружилось, что обучение он все-таки прошел.

Ситуация 2. Во время аудита в управлении ИТ были проверены планы обучения и записи об обучении персонала по информационной безопасности. За последние три года были обнаружены записи только о двух обучениях. Руководитель подразделения рассказал о том, что в этом году у предприятия нет денег.

Ситуация 3. Во время аудита высшего руководства было обнаружено, что при разработке анализа СМИБ не были использованы результаты внутренних аудитов. Руководство пояснило это тем, что аудит пройдет только через месяц.

Ситуация 4. Во время аудита системного администратора выяснилось, что синхронизация часов отсутствует на многих компьютерах. Системный администратор показал перечень ПК и объяснил, что он еще не успел настроить все ПК.

Ситуация 5. Во время аудита службы безопасности выяснилось, что новая информационная система, которая поставлена в работу не прошла проверку службой безопасности. Однако по заявлению руководителя службы система произведена надежным поставщиком и более того, жалобы на работу с новой системой поступают намного реже, чем от старой.

Ситуация 6. Во время аудита службы ИТ была просмотрена схема схема. Выяснилось, что она не соответствует действительности. На одном из участков идет модернизация сети.

Ситуация 7. Во время аудита в одном из подразделений пользователь ПК заявил, что у него есть жалобы на вирусы и что он подал заявку на решение проблемы в отдел ИТ. Прошло уже 5 часов, но никто не приходит.

Выходные данные: Презентация результатов Заключения о соответствии-несоответствии.

Входные данные: ISO/IEC 27001:2005

Практическое задание № 6.5

Реальные ситуации. Определение несоответствий. ПКД и ППД.

Цель: Получить навыки по оценке несоответствия. Научиться определять меры. Получить навыки по разработке плана корректирующих и предупреждающих мероприятий.

Задача: Определить по каждой ситуации соответствие-несоответствие. В случае обнаружения несоответствия классифицировать его как критичное-некритичное. Предложить меры. Разработать план действий.