Система информационной безопасности при проведении аудита и оказании иных услуг

Оказание аудиторских и иных услуг предполагает, среди прочего, обеспечение аудиторской организацией (индивидуальным аудитором) информационной безопасности. С этой целью аудиторская организация (индивидуальный аудитор) должна разработать систему (политику) информационной безопасности при оказании услуг и поддерживать ее в актуальном состоянии. Данная система может включать, как минимум, следующие элементы:

а) меры (программу) обеспечения информационной безопасности при оказании услуг, включая, но не ограничиваясь: защиту информации, например, применительно к положениям Требований о защите информации, содержащейся в государственных информационных системах, иных информационных системах государственных органов, государственных унитарных предприятий, государственных учреждений, утвержденных приказом ФСТЭК России от 11 апреля 2025 г. N 117; использование отечественного программного обеспечения; расположение информационной инфраструктуры, в том числе центров хранения и обработки данных, на территории Российской Федерации; защиту каналов связи информационной инфраструктуры, проходящих по территории иностранных государств, с использованием криптографических средств защиты информации, прошедших процедуру оценки соответствия; требования к лицам, допущенным к использованию информационных систем и программного обеспечения (включая лиц, осуществляющих управленческие и контрольные функции); запрет на доступ к информационным системам и программному обеспечению лиц, не являющихся работниками аудиторской организации; запрет на использование документов (копий документов) на бумажном носителе и (или) электронных документов, полученных и (или) составленных в ходе оказания услуг, и на использование (получение доступа) к базам данных этих документов за пределами Российской Федерации;

б) меры (программу) обеспечения безопасного хранения документов и информации, образующихся в деятельности аудиторской организации (индивидуального аудитора);

в) меры (программу) по осуществлению систематической работы по повышению культуры информационной безопасности среди работников аудиторской организации (индивидуального аудитора);

г) меры (программу) формирования и поддержания знаний и навыков обеспечения информационной безопасности аудиторами и иными работниками аудиторских организаций (индивидуальных аудиторов) при участии в оказании услуг;

д) меры (программу) стимулирования активной реализации системы информационной безопасности при оказании услуг аудиторами и иными работниками аудиторских организаций (индивидуальных аудиторов) при участии в оказании услуг;

е) меры (программу) организации и осуществления систематического внутреннего контроля состояния системы информационной безопасности при оказании услуг, выявления ее уязвимостей и недостатков, оценки степени (уровня) риска информационной безопасности и управления им.