ISO/IEC 27006
आई. एस. ओ./आई. ई. सी. 27006 अंतर्राष्ट्रीय मानकीकरण संगठन (आई. एस. ओ.) और अंतर्राष्ट्रीय विद्युत तकनीकी आयोग (आई. ई. सी.) द्वारा प्रकाशित एक सूचना सुरक्षा मानक है। आई. एस. ओ./आई. ई. सी. सूचना सुरक्षा प्रबंधन प्रणाली (आई. एस. एम. एस.) मानकों की आई. एस. ओ./आई. ई. सी. 27000 श्रृंखला का हिस्सा, इसका शीर्षक सूचना प्रौद्योगिकी-सुरक्षा तकनीक-सूचना सुरक्षा प्रबंधन प्रणालियों के लेखा परीक्षा और प्रमाणन प्रदान करने वाले निकायों के लिए आवश्यकताएँ है। आई. एस. ओ./आई. ई. सी. 27006 मान्यता प्राप्त संगठनों के लिए औपचारिक आवश्यकताओं को निर्धारित करता है जो आई. एस. ओ./आई. ई. सी. 27001 के अनुरूप अन्य संगठनों को प्रमाणित करते हैं। यह प्रभावी रूप से ई. ए. 7/03 (प्रमाणीकरण/पंजीकरण का संचालन करने वाले निकायों के प्रत्यायन के लिए दिशानिर्देश) की जगह लेता है। सूचना सुरक्षा प्रबंधन प्रणाली)। यह मानक यह सुनिश्चित करने में मदद करता है कि मान्यता प्राप्त संगठनों द्वारा जारी किए गए आई. एस. ओ./आई. ई. सी. 27001 प्रमाणपत्र सार्थक और भरोसेमंद हैं, दूसरे शब्दों में यह आश्वासन का विषय है। मानक आई. एस. ओ. 27006 का विवरण आई. एस. ओ. 17021-1 और आई. एस. ओ. 27001 द्वारा निर्धारित आवश्यकताओं के अलावा सूचना सुरक्षा प्रबंधन प्रणालियों (आई. एस. एम. एस.) का लेखापरीक्षा और प्रमाणन करने वाले तीसरे पक्षों के लिए मान्यता प्राप्त करने की आवश्यकताओं की रूपरेखा तैयार करता है। यह मानक पहली बार 2007 में प्रकाशित किया गया था, और आईएसओ 17021 मानक में किए गए महत्वपूर्ण परिवर्तनों के कारण इसे दो बार संशोधित करना पड़ा। वर्तमान संस्करण 2015 में प्रकाशित आईएसओ 27006 का तीसरा संस्करण है। आई. एस. ओ. 27006:2015 आई. एस. एम. एस. लेखा परीक्षकों की क्षमता के प्रदर्शन के लिए मानक निर्धारित करता है। प्रमाणन निकाय लेखापरीक्षा आई. एस. एम. एस. को यह सत्यापित करने के लिए आवश्यक है कि लेखापरीक्षा दल के प्रत्येक लेखापरीक्षक को आई. एस. एम. एस. की निगरानी, माप, विश्लेषण और मूल्यांकन, सूचना सुरक्षा, प्रबंधन प्रणाली, लेखापरीक्षा के सिद्धांत और लेखापरीक्षा की जाने वाली प्रणालियों का तकनीकी ज्ञान है। दल के सभी लेखा परीक्षकों को सामूहिक रूप से सूचना प्रणाली प्रबंधन शब्दावली, सिद्धांतों और तकनीकों में पारंगत होना चाहिए। उन्हें आईएसओ 27001 से सभी आवश्यकताओं, आईएसओ 27002 में सूचीबद्ध सभी नियंत्रणों के बारे में पता होना चाहिए। इसके अलावा, लेखा परीक्षकों को व्यवसाय प्रबंधन प्रथाओं, किसी विशेष सूचना प्रणाली क्षेत्र, भूगोल और क्षेत्राधिकार में कानूनी और नियामक आवश्यकताओं के बारे में पता होना चाहिए। लेखापरीक्षा की समीक्षा करने और प्रमाणन निर्णय लेने वाले कर्मियों द्वारा भी क्षमता का प्रदर्शन किया जाना चाहिए। प्रमाणन दायरे की सटीकता को सत्यापित करने के लिए उन्हें पर्याप्त ज्ञान होना चाहिए। इसके अलावा, उन्हें प्रबंधन प्रणालियों, लेखा परीक्षा प्रक्रियाओं, सिद्धांतों और तकनीकों का सामान्य ज्ञान होना चाहिए। आई. एस. ओ. 27006:2015 पर्याप्त शिक्षा, व्यावसायिक विकास, आई. एस. एम. एस. लेखापरीक्षा को शामिल करने वाले प्रशिक्षण और वर्तमान/प्रासंगिक अनुभव स्तर को भी रेखांकित करता है। मानक का उद्देश्य आईएसओ 27006 का प्राथमिक उद्देश्य सूचना सुरक्षा प्रबंधन प्रणाली को प्रमाणित करने वाले तीसरे पक्ष के लिए मान्यता का समर्थन करना है। किसी भी मान्यता प्राप्त तृतीय-पक्ष लेखा परीक्षा और आईएसओ 27001 के साथ अनुपालन की पुष्टि करने के लिए इस मानक में आवश्यकताओं का पालन करना चाहिए ताकि यह सुनिश्चित किया जा सके कि आईएसएमएस प्रमाणन मान्य हैं। मान्यता प्राप्त तृतीय पक्षों को अपनी क्षमता और विश्वसनीयता का प्रदर्शन करने की आवश्यकता है। आवेदन आई. एस. ओ. 27001 प्रमाणन प्राप्त करने वाले एक मध्यम आकार के संगठन को आई. एस. एम. एस. प्रमाणन लेखा परीक्षा को पूरा करने के लिए एक मान्यता प्राप्त प्रमाणन निकाय को नियुक्त करने की आवश्यकता होती है। संगठन को यह सुनिश्चित करने के लिए उचित परिश्रम करना चाहिए कि चयनित लेखा परीक्षा फर्म आईएसओ 27006:2015 मानक का अनुपालन करती है। लेखापरीक्षा के दौरान, संगठन को यह सुनिश्चित करना चाहिए कि लेखापरीक्षा को पूरा करने के लिए आवश्यक सभी दस्तावेज उपलब्ध हों, लेखापरीक्षा दल को आई. एस. एम. एस. रिकॉर्ड प्रदान करें, जिसमें आई. एस. एम. एस. डिजाइन और नियंत्रणों की प्रभावशीलता के बारे में जानकारी शामिल है लेकिन सीमित है। आईएसओ/आईईसी 27000-श्रृंखला आईएसओ/आईईसी जेटीसी 1/एससी 27-आईटी सुरक्षा तकनीक संदर्भ बाहरी लिंक आईएसओ वेबसाइट 27006 भी देखें।