Орган по сертификации систем
менеджмента
ООО «Центр сертификации и
декларирования «ЦСД»
Республика Беларусь, 220007,
г. Минск, ул. Фабрициуса, д. 8Б, корп.1,
каб. 5-17 (пом. 407)

Исходная информация для оценки системы менеджмента информационной безопасности

наименование организации

	Данные организации (заполнить) 	
1. Сведения об организации:	
Организационная структура, включающая основные и вспомогательные производственные подразделения, инженерные и административные службы с указанием связей между ними	Приложение	
Схема управления СМИБ (если отличается от ргструктуры)	Приложение	
2. Численность работающих, на которых распространяется область применения СМИБ:	
Общее количество работников		
1) работники с полным рабочим днем		
2) работники с неполным рабочим днем (ч/в неделю)		
3) лица, выполняющих работу под управлением организации, выполняющий одни и те же задачи		
Примечание: В случае, если указана численность только штатного персонала, то при расчете будет приниматься численность штатного персонала, указанная в основной заявке	
Сменность работ на основном производстве (количество рабочих смен)		
Являются ли документы по СМИБ конфиденциальными и/или они не могут быть предоставлены представителю органа по сертификации для анализа
Если «Да», то просим сообщить нам, какого рода документы/информацию Вы не можете предоставить в наше распоряжение. В зависимости от типа документов/информации аудит может быть невозможен		
Наличие обособленных структурных подразделений или филиалов, с указанием адреса местонахождения и адреса места осуществления деятельности (в случае, если адреса различаются)		
3. Факторы, связанные с бизнесом и организацией	
a) сложность СМИБ (например, критичность информации, ситуация, связанная с риском в СМИБ и др.)	 Только малочувствительная или конфиденциальная информация, низкие требования к доступности;
 Несколько критических активов (с точки зрения CIA); 
 Только один ключевой бизнес–процесс с несколькими интерфейсами и несколькими вовлеченными подразделениями
 Более высокие требования к доступности или определенная чувствительная / конфиденциальная информация;
 Некоторые критические активы;
 2–3 простых бизнес–процесса с несколькими интерфейсами и несколькими вовлеченными подразделениями;
 Более высокий уровень чувствительной или конфиденциальной информации (например,
здоровье, личная информация, страхование, банковское дело) или высокие требования к доступности;
 Многие критические активы;
 Более двух сложных процессов с большим количеством интерфейсов и несколькими вовлеченными подразделениями	
b) тип (ы) бизнеса, выполняемые в рамках области применения СМИБ;	 Бизнес с низким риском без обязательных требований
 Высокие обязательные требования
 Бизнес с высоким риском (только) ограничен обязательными требованиями	
c) ранее продемонстрированная пригодность СМИБ:	 Недавно сертифицирована;
 Не сертифицирована, но СМИБ полностью внедрена в течение нескольких циклов аудита и улучшения, включая документированные внутренние аудиты, анализ со стороны руководства и эффективную систему постоянного улучшения
 Недавний инспекционный аудит;
 Не сертифицирована, но частично реализованы элементы СМИБ: доступны и внедрены некоторые инструменты системы менеджмента; существуют некоторые процессы постоянного улучшения, которые частично документированы
 Отсутствие сертификации и недавних аудитов;
 СМИБ является новой и не полностью установленной (например, отсутствие специфических механизмов управления системой менеджмента, незрелые процессы постоянного улучшения, ситуативное выполнение процесса)	
d) для периодической оценки или повторного сертификационного аудита: объем и степень изменений, относящихся к СМИБ.	 Никаких изменений с момента последнего повторного сертификационного аудита
 Незначительные изменения в области применения или в Положении о применимости (SoA) СМИБ, например некоторые политики, документы и т. д.;
 Незначительные изменения факторов, перечисленных выше
 Значительные изменения в области применения или в Положении о применимости (SoA) СМИБ, например новые процессы, новые бизнес–единицы, области, методология менеджмента оценки рисков, политика, документация, обработка рисков;
 Основные изменения факторов, перечисленных выше	
4. Факторы, связанные с IT-средой	
е) распространённость и разнообразие технологий, используемых при внедрении различных компонентов СМИБ (например, количество различных ИТ-платформ, количество изолированных сетей);	 Высоко стандартизованная среда с низким уровнем разнообразия (несколько IT–платформ, серверов, операционных систем, баз данных, сетей и т.д.)
 Стандартизованные, но разнообразные ИТ–платформы, серверы, операционные системы, базы данных, сети
 Высокое разнообразие или сложность ИТ (например, множество разных сегментов сетей, типов серверов или баз данных, количество ключевых приложений)	
f) границы аутсорсинга и сторонних соглашений, используемых в рамках области применения СМИБ:	 Отсутствие аутсорсинга и небольшая зависимость от поставщиков, или
 Четкие, управляемые и контролируемые соглашения по аутсорсингу;
 У аутсорсера есть сертифицированная СМИБ;
 Имеются релевантные независимые отчеты о достоверности
 Несколько частично управляемых соглашений об аутсорсинге
 Высокая зависимость от аутсорсинга или поставщиков, оказывающих значительное влияние на важную бизнес–деятельность, или
 Неизвестное количество или степень аутсорсинга, или
 Несколько неуправляемых соглашений об аутсорсинге	
g) степень разработки информационной системы:	 Отсутствие внутренней разработки системы;
 Использование стандартных программных платформ
 Использование стандартизированных программных платформ со сложной конфигурацией/ параметризацией;
 (Высоко) индивидуальное программное обеспечение;
 Некоторые мероприятия по разработке (внутренние или внешние)
 Обширная внутренняя разработка программного обеспечения с несколькими текущими проектами для важных целей бизнеса	
h) количество площадок и количество площадок аварийного восстановления (DR);	 Низкие требования к доступности или их отсутствие или одна площадка аварийного восстановления (DR)
 Средние или высокие требования к доступности и ни одной (или одна) площадки аварийного восстановления (DR)
 Высокие требования к доступности, например круглосуточные услуги (24/7);
 Несколько альтернативных площадок DR;
 Несколько центров обработки данных	
5 Перечень документов СМИБ	
Основные документы системы менеджмента информационной безопасности (Политика; цели в области информационной безопасности; Руководство по информационной безопасности; обязательные политики информационной безопасности)	Приложение	
Проведены ли внутренние аудиты. Укажите результаты внутренних аудитов
*на момент подачи заявки должен быть проведен как минимум один внутренний аудит, охватывающий область сертификации		
Проводился ли анализ системы менеджмента со стороны руководства с предусмотренной периодичностью?
*на момент подачи заявки должен быть проведен как минимум один анализ со стороны руководства, охватывающий область сертификации		
6 Данные о внешних проверках		
Информация о проверках контролирующими и надзорными органами за последние 12 месяцев, с приложением ксерокопии книги учета проверок и ревизий.	Приложение	

Верность данных подтверждаю
_______________ _______________ ____________________ _____________
               должность                         подпись                            фамилия, инициалы                      дата