АНКЕТА-ВОПРОСНИК

Оценка приведенной информации используется для определения готовности Организации к проведению сертификационного аудита на соответствие требованиям СТБ ISO/IEC 27001-2024, ISO/IEC 27001:2022

Наименование организации

№ п/п	Вопросы	СТБ ISO/IEC 27001, ISO/IEC 27001:2022	Да 	Нет	Примечание	
4 Контекст организации	
1	Понимание организации и ее контекста.
Определены ли внешние и внутренние факторы, которые относятся к предназначению и стратегическому направлению организации?	4.1				
2	Понимание потребностей и ожиданий заинтересованных сторон.
Определены ли: 
- заинтересованные стороны, которые имеют отношение к СМИБ; 
- требования этих заинтересованных сторон, которые относятся к СМИБ?	4.2				
3	Определение области применения системы менеджмента информационной безопасности.
Определена и поддерживается ли в виде документированной информации область применения СМИБ?	4.3				
4	Система менеджмента информационной безопасности.
Разработана, внедрена, поддерживается и постоянно улучшается ли СМИБ, включая необходимые процессы и их взаимодействие?	4.4				
5 Лидерство	
5	Лидерство и приверженность.
Демонстрирует ли высшее руководство организации лидерство и приверженность по отношению к СМИБ?	5.1				
6	Политика.
Установлена, внедрена и поддерживается ли Политика в области информационной безопасности?
Доступна ли Политика в области информационной безопасности, поддерживается в виде документированной информации и доведена ли до сведения персонала организации?	5.2				
7	Роли, обязанности и полномочия в организации.
Обеспечивает ли Высшее руководство, чтобы обязанности и полномочия в отношении соответствующих ролей назначались, доводились до сведения внутри организации?	5.3				
6 Планирование	
8	Действия по рассмотрению рисков и возможностей	6.1				
9	Общие положения.
Определены ли риски, которые необходимо рассмотреть?
Планируются ли действия по рассмотрению этих рисков?	6.1.1				
10	Оценка рисков информационной безопасности.
Определен и применен ли процесс оценки риска информационной безопасности? Сохраняется ли документированная информация о процессе оценки рисков информационной безопасности?	6.1.2				
11	Обработка рисков информационной безопасности.
Определен и применен ли процесс обработки риска информационной безопасности? Сохраняется ли документированная информация о процессе обработки риска информационной безопасности?	6.1.3				
12	Цели в области информационной безопасности и планирование их достижения.
Установлены ли цели в области информационной безопасности для соответствующих функций и уровней, необходимых для СМИБ?
Поддерживается ли документированная информация о целях в области информационной безопасности?	6.2				
13	Планирование изменений.
Проводятся ли изменения СМИБ в плановом порядке?	6.3				
7 Поддержка	
14	Ресурсы.
Определены ли ресурсы, необходимые для разработки, внедрения, поддержания и постоянного улучшения системы менеджмента информационной безопасности?	7.1				
15	Компетентность.
Определена ли необходимая компетентность персонала? Сохраняется ли соответствующая документированная информация как свидетельство компетентности персонала?	7.2				
16	Осведомленность.
Обеспечено ли, чтобы соответствующий персонал, работающий под управлением организации, был осведомлен о:
- Политике в области информационной безопасности;
- его вкладе в результативность СМИБ, включая выгоды от улучшения пригодности информационной безопасности; 
- последствиях несоответствий требованиям СМИБ?	7.3				
17	Коммуникация.
Определены ли внутренние и внешние коммуникации, относящиеся к СМИЬ и действия с ними?	7.4				
18	Документированная информация	7.5				
19	Общие положения.
Включает ли СМИБ документированную информацию, требуемую СТБ ISO/IEC 27001-2024 и определенную организацией как необходимую для результативности СМИБ?	7.5.1				
20	Создание и обновление.
Обеспечивается ли идентификация и описание, формат и носитель, анализ и одобрение информации с точки зрения приемлемости и адекватности при создании и обновлении документированной информации?	7.5.2				
21	Управление документированной информацией.
Обеспечивается ли управление документированной информацией в соответствии с установленными требованиями?	7.5.3				
8 Операционная деятельность	
22	Планирование и управление деятельностью.
Осуществляется ли планирование, внедрение и управление процессами для выполнения требований?
Управляет ли организация запланированными изменениями и проводит ли анализ последствий непредполагаемых изменений, предпринимая, при  необходимости, действия по смягчению любых негативных последствий. 
Обеспечено ли организацией, чтобы предоставляемые извне процессы, продукция или услуги находились под управлением?	8.1				
23	Оценка рисков информационной безопасности.
Выполняется ли оценка рисков информационной безопасности? Сохраняется ли документированная информация о результатах оценок риска информационной безопасности?	8.2				
24	Обработка риска информационной безопасности.
Выполняется ли план обработки риска информационной безопасности? Сохраняется ли документированная информация о результатах обработки риска информационной безопасности?

	8.3				
9 Оценивание пригодности	
25	Мониторинг, измерения, анализ и оценивание.
Определены ли: 
- объекты мониторинга и измерений, включая процессы информационной безопасности и средства управления; 
- методы мониторинга, измерений, анализа и оценивания, необходимые для обеспечения валидированных результатов; 
- когда должны выполнятся мониторинг и измерения;
- кто должен осуществлять мониторинг и измерения;
- когда должны быть проведены анализ и оценивание результатов мониторинга и измерений;
- кто должен провести анализ и оценивание результатов мониторинга и измерений?
Сохраняется ли соответствующая документированная информация как свидетельство полученных результатов? Оценивается ли пригодность и результативность системы менеджмента информационной безопасности? 	9.1				
26	Внутренний аудит	9.2				
27	Общие положения.
Проводятся ли внутренние аудиты через запланированные интервалы времени? 	9.2.1				
28	Программа внутреннего аудита.
Планируется, устанавливается, выполняется и поддерживается ли программа аудита? Сохраняется ли документированная информация о результатах аудита и как свидетельство выполнения программы аудита и результатов аудита?	9.2.2				
29	Анализ со стороны руководства	9.3				
30	Общие положения. 
Осуществляет ли высшее руководство через запланированные интервалы времени анализ СМИБ организации, чтобы обеспечить ее постоянную приемлемость, адекватность и результативность?	9.3.1				
31	Входы анализа со стороны руководства.
Включают ли анализ со стороны руководства входные данные, требуемые СТБ ISO/IEC 27001-2024?	9.3.2				
32	Результаты анализа со стороны руководства.
Включают ли результаты анализа со стороны руководства решения, связанные с: 
- возможностями постоянного улучшения и любыми потребностями внесения изменений в СМИБ?
Сохраняется ли документированная информация как свидетельство результатов анализа со стороны руководства?	9.3.3				
10 Улучшение	
33	Постоянное улучшение.
Осуществляется ли постоянное повышение приемлемости, адекватности и результативности СМИБ?	10.1				
34	Несоответствия и корректирующие действия.
При возникновении несоответствия Организация:
- реагирует ли (если применимо), предпринимая действия по управлению и его коррекции, борется ли с последствиями;
- оценивает ли необходимость действий по устранению причины несоответствия;
- выполняют ли все необходимые действия;
- анализируется ли результативность каждого предпринятого корректирующего действия;
- вносятся ли изменения в СМИБ, если необходимо?
Сохраняется ли документированная информация о характере несоответствий и всех последующих предпринятых действиях, результатах каждого корректирующего действия?

	10.2				
Приложение А	
5 Организационные средства управления	
35	Политики в области информационной безопасности	5.1				
36	Роли и обязанности в области информационной безопасности	5.2				
37	Разделение обязательств	5.3				
38	Обязанности руководства/менеджмента	5.4				
39	Взаимодействие с органами власти	5.5				
40	Контакты с группами, имеющими особые интересы	5.6				
41	Аналитические исследования угроз	5.7				
42	Информационная безопасность в менеджменте проектов	5.8				
4.3	Инвентаризация информации и других связанных с ней активов	5.9				
44	Приемлемое использование информации и других связанных с ней активов	5.10				
45	Возврат активов	5.11				
46	Классификация информации	5.12				
47	Маркировка (разметка) информации	5.13				
48	Передача информации	5.14				
49	Управление доступом	5.15				
50	Менеджмент идентификации	5.16				
51	Информация для аутентификации 	5.17				
52	Права доступа	5.18				
53	Информационная безопасность в отношениях с поставщиками	5.19				
54	Обеспечение информационной безопасности в рамках соглашений с поставщиками	5.20				
55	Менеджмент информационной безопасностью в цепи поставок информационно-коммуникационных технологий (ICT)	5.21				
56	Мониторинг, анализ и менеджмент изменений услуг поставщиков	5.22				
57	Информационная безопасность при использовании облачных услуг	5.23				
58	Планирование и подготовка к менеджменту инцидента информационной безопасности	5.24				
59	Оценка событий в области информационной безопасности и принятие решений	5.25				
60	Реагирование на инциденты информационной безопасности	5.26				
61	Извлечение уроков из инцидентов информационной безопасности	5.27				
62	Сбор свидетельств	5.28				
63	Информационная безопасность во время сбоев	5.29				
64	Готовность ICT к обеспечению непрерывности бизнеса	5.30				
65	Правовые, законодательные, нормативные и договорные требования	5.31				
66	Права интеллектуальной собственности	5.32				
67	Защита записей	5.33				
68	Безопасность частной жизни и защита персональных данных (персональной идентифицирующей информации (PII))	5.34				
69	Независимый анализ информационной безопасности	5.35				
70	Соблюдение политик, правил и стандартов в области информационной безопасности	5.36				
71	Документированные процедуры операционной деятельности	5.37				
6 Средства управления, связанные с людьми	
72	Отбор	6.1				
73	Сроки и условия найма	6.2				
74	Осведомленность, обучение и подготовка в области информационной безопасности	6.3				
75	Дисциплинарный процесс	6.4				
76	Обязанности после увольнения или смены места работы	6.5				
77	Соглашения о конфиденциальности или неразглашении	6.6				
78	Удаленная работа	6.7				
79	Отчетность о событиях информационной безопасности	6.8				
7 Физические средства управления	
80	Периметры физической безопасности	7.1				
81	Физический доступ	7.2				
82	Безопасность офисов, помещений и устройств	7.3				
83	Мониторинг физической безопасности	7.4				
84	Защита от физических и экологических угроз	7.5				
85	Работа в охраняемых зонах	7.6				
86	«Чистый стол» и «Чистый экран»	7.7				
87	Размещение и защита оборудования	7.8				
88	Безопасность активов вне территориальных пределов	7.9				
89	Носители информации	7.10				
90	Службы обеспечения	7.11				
91	Безопасность кабельных сетей	7.12				
92	Техническое обслуживание оборудования	7.13				
93	Безопасная утилизация или повторное использование оборудования	7.14				
8 Технологические средства управления	
94	Устройства конечного пользователя	8.1				
95	Права привилегированного доступа	8.2				
96	Ограничение доступа к информации	8.3				
97	Доступ к исходному коду	8.4				
98	Безопасная аутентификация	8.5				
99	Менеджмент мощности	8.6				
100	Защита от вредоносных программ	8.7				
101	Менеджмент технических уязвимостей	8.8				
102	Менеджмент конфигураций	8.9				
103	Удаление информации	8.10				
104	Маскирование данных	8.11				
105	Предотвращение утечки данных	8.12				
106	Резервное копирование информации	8.13				
107	Избыточность средств обработки информации	8.14				
108	Логирование (ведение журналов)	8.15				
109	Мониторинг деятельности	8.16				
110	Синхронизация часов	8.17				
111	Использование привилегированных программных утилит	8.18				
112	Установка программного обеспечения в операционные системы	8.19				
113	Безопасность сетей	8.20				
114	Безопасность сетевых услуг	8.21				
115	Разделение в сетях	8.22				
116	Веб-фильтрация	8.23				
117	Использование криптографии	8.24				
118	Безопасный жизненный цикл разработки	8.25				
119	Требования к безопасности приложений	8.26				
120	Архитектура и принципы инжиниринговых безопасных систем	8.27				
121	Безопасное кодирование	8.28				
122	Тестирование безопасности при разработке и приемке	8.29				
123	Аутсорсинговая разработка	8.30				
124	Разделение сред разработки, тестирования и производственного функционирования	8.31				
125	Менеджмент изменениями	8.32				
126	Тестовая информация	8.33				
127	Защита информационных систем при аудиторском тестировании	8.34				

Верность данных подтверждаю

Руководитель организации/ 
представитель руководства____________________________________________________________________
                                                                        ФИО, подпись, расшифровка подписи