Eesti infoturbestandard ст. 9Organisatsioonisisene hindamine

(1) Organisatsioon hindab regulaarselt, kas tal on:

1) kindlaks määratud äriprotsessid;

2) kaardistatud äriprotsessidega seotud varad;

3) kindlaks tehtud välised infoturvanõuded, sealhulgas õigusaktid ja lepingud;

4) tuvastatud ja hinnatud äriprotsessidele mõju avaldavad riskid;

5) vastendatud infoturbekataloogi moodulid kaitseala varaga;

6) kehtestatud riskihaldusmetoodika;

7) koostatud infoturvameetmete rakendamise plaan;

8) rakendatud ja seiratud infoturvameetmeid vastavalt infoturvameetmete rakendamise plaanis seatud tähtaegadele;

9) kõrvaldatud auditite ja hindamiste käigus tuvastatud puudused.

(2) Lõikes 1 nimetatud hindamist võib teha organisatsiooniväline isik.

(3) Lõikes 1 nimetatud hindamise käigus tuvastatud puudused tuleb kõrvaldada ja infoturvameetmete rakendamata jätmisest tulenevad riskid aktsepteerida auditeerimise alguseks.