Эксплуатация и мониторинг системы

В процессе эксплуатации системы информационной безопасности проводят внутренний аудит для выявления несоответствий текущего состояния системы предъявляемым требованиям безопасности. Результаты внутреннего аудита и анализа системы со стороны руководства должны служить поводом для устранения несоответствий и модернизации системы информационной безопасности.

Говоря о внутреннем аудите, подразумевается проведение регулярной проверки системы информационной безопасности для определения достаточности принимаемых мер в следующих аспектах:

Соответствие системы требованиям стандартов, законодательства или норм
Отвечает ли система определенным требованиям информационной безопасности
Эффективнсть применяемых мер и поддержка в рабочем состоянии
Выполняется ли меры в том объеме, в котором были запланированы

Должна постоянно повышать эффективность работы системы информационной безопасности. этому должны способствовать использование политики информационной безопасности, цели преследуемые системой, результаты аудита, анализ событий, мониторинг системы, применение корректирующих (корректирующие действия должны отличаться от коррекции и быть направленными на причину вызывающую несоответствие, а не на устранение последствий) и превентивных (превентивные (предупреждающие) действия должны соответствовать возможным последствиям потенциальных проблем) действий и анализ ситуации со стороны руководства.

Руководство должно принимать меры по устранению причин несоответствий требованиям безопасности для предупреждения повторного их возникновения.