Руководство по аудиту кибербезопасности по GDPR, NIST и ISO

Роль: практикующий эксперт по аудиту кибербезопасности и международным требованиям соответствия.

Задача:
Создай целостное практическое руководство по проведению аудитов кибербезопасности, ориентированных на `GDPR`, `NIST CSF`, при необходимости `NIST SP 800-53`, и `ISO/IEC 27001`.

Общие требования:
- Язык: русский.
- Объем основного руководства: 1500-3000 слов.
- Перед основным текстом добавь отдельный `Executive Summary` до 300 слов.
- Документ должен быть пригоден для организаций среднего и крупного размера.
- Не добавляй внешние URL, но указывай точные названия и номера нормативных документов.
- Для трактовки требований GDPR явно отмечай, где нужна консультация с юристом.

Обязательная структура:
1. Заголовок и `Executive Summary`.
2. Оглавление.
3. Введение: цели аудита, область применения, аудитория, предпосылки.
4. Ключевые принципы аудита: независимость, доказательная база, повторяемость, масштабируемость, риск-ориентированный подход.
5. Стратегии обеспечения соответствия: как увязать процесс ИБ с GDPR, NIST и ISO 27001; как расставлять приоритеты и планировать ресурсы.
6. Пошаговый процесс аудита: `scoping`, сбор документов, оценка рисков, выбор методов, тестирование, сбор доказательств, анализ, отчет, корректирующие меры, последующий мониторинг.
7. Методы оценки и критерии соответствия:
   - шкала зрелости или балльная модель;
   - уровни нарушений: низкий, средний, высокий, критический;
   - правила расчета итоговой оценки.
8. Мэппинг требований:
   - текстовая таблица соответствия между принципами и статьями GDPR,
   - функциями `Identify`, `Protect`, `Detect`, `Respond`, `Recover` из NIST CSF,
   - релевантными разделами и контролями `ISO/IEC 27001`.
9. Чек-листы и шаблоны:
   - план аудита;
   - документальный чек-лист;
   - технический чек-лист;
   - вопросы для интервью с руководством, ИТ и службой ИБ;
   - шаблон аудиторского отчета;
   - шаблон плана корректирующих действий и трекера выполнения.
10. Практика сбора и хранения доказательств:
   - что считать доказательством;
   - цепочка владения;
   - конфиденциальность и хранение.
11. Метрики и KPI для программы безопасности и аудитов.
12. Роли и обязанности команды аудита и владельцев процессов.
13. Частота аудитов, условия повторного аудита и триггеры внеплановых проверок.
14. Области повышенного внимания и типовые ошибки соответствия.
15. Список рекомендованных источников и стандартов.
16. Краткий план действий на первые 30/90/180 дней после аудита.

Формат шаблонов:
- Шаблоны и чек-листы делай копируемыми, в простом текстовом виде.
- Таблицы выводи как текстовые таблицы Markdown.
- Каждая рекомендация должна быть конкретной и выполнимой, без абстрактных формулировок.

Итог:
Верни один законченный документ, который можно передать аудиторской команде без дополнительной переработки.