Hva ER EN It Security Audit?

Publisert 22. februar 2018 av Karen Walsh * 5 min lese

EN it-sikkerhetsrevisjon forårsaker ofte stress i et selskap – men de trenger ikke. Sikkerhetsrevisjoner bidrar til å beskytte mot en datatrusselhendelse, og innebærer tekniske gjennomganger som rapporterer om konfigurasjoner, teknologier, infrastruktur og mer. Disse dataene detaljer som kan skremme de som føler seg mindre enn ekspert I IT, men å forstå ressursene og strategiene som er tilgjengelige for å beskytte mot moderne angrep, gjør IT-sikkerheten mindre overveldende.

VED roten inkluderer EN it-sikkerhetsrevisjon to forskjellige vurderinger. Den manuelle vurderingen skjer når en intern ELLER ekstern it-sikkerhetsrevisor intervjuer ansatte, vurderer tilgangskontroller, analyserer fysisk tilgang til maskinvare og utfører sårbarhetsskanninger. Disse vurderingene bør skje, som et minimum, årlig. Noen organisasjoner foretrekker imidlertid å gjøre dem oftere.

Organisasjoner bør også gjennomgå systemgenererte rapporter. Automatiserte vurderinger inkluderer ikke bare disse dataene, men svarer også på programvareovervåkingsrapporter og endringer i server-og filinnstillinger.

Hvorfor ER EN It-Sikkerhetsrisikovurdering Viktig?

før du oppretter prosedyrer og kontroller rundt IT-sikkerhet, må organisasjoner bestemme sin risikoeksponering. ISACA bemerker at det er fem hovedgrunner til å etablere en bedriftssikkerhetsrisikovurdering.For Det Første kan en risikovurdering bidra til å rettferdiggjøre de økonomiske utgiftene som trengs for å beskytte en organisasjon. Informasjonssikkerhet har en kostnad. Stramme budsjetter betyr at ekstra utgifter kan være utfordrende å få godkjent. EN risikovurdering av it-sikkerhet artikulerer kritiske risikoer og kvantifiserer trusler mot informasjonsmidler. Ved å utdanne interne interessenter slik at de ikke bare kan se eksponeringen, men også verdien av å redusere kritiske risikoer, bidrar en sikkerhetsrisikovurdering til å rettferdiggjøre sikkerhetsinvesteringer.

for det Andre bidrar risikovurderinger til å effektivisere it-avdelingens produktivitet. VED å formalisere strukturene som bidrar til kontinuerlig overvåking, KAN IT-avdelingene fokusere på proaktivt gjennomgang og innsamling av dokumentasjon i stedet for defensivt å svare på trusler.

videre kan vurderinger bidra til å bryte ned barrierer. Starter med en sikkerhetsrisikovurdering setter konsernledelsen OG IT-ansatte på samme side. Ledelsen må ta beslutninger som reduserer risiko mens IT-ansatte implementerer dem. Å jobbe sammen fra samme risikovurdering gir alle den informasjonen de trenger for å beskytte organisasjonen, og forenkler innkjøp til sikkerhetsarbeid utenfor IT-avdelingen.

Virksomhetens sikkerhetsrisikovurderinger danner også grunnlaget for egenvurdering. MENS IT-ansatte kjenner det tekniske systemet, nettverket og applikasjonsinformasjonen, er implementeringen avhengig av ansatte i andre forretningsenheter. Risikovurderinger gir tilgjengelige rapporter med fokus på praktisk informasjon, slik at alle involverte kan ta et passende ansvarsnivå. For å fremme en kultur for samsvar, kan sikkerhet ikke fungere isolert.

til slutt hjelper sikkerhetsrisikovurderinger med å dele informasjon på tvers av avdelinger. Med individuelle leverandører og systemer kan ulike avdelinger i en organisasjon ikke vite hva andre gjør. Siden den øverste ledelsen i større selskaper må dele ansvar, gir vurderinger den innsikten som er nødvendig for meningsfulle diskusjoner som støtter IT-sikkerhet.

Hva Gjør EN It-Sikkerhetsrevisor?

IT – sikkerhetsrevisorer gir en rekke funksjoner. De gjennomgår en organisasjons virksomhet, finansiell rapportering og overholdelse. Selv om disse områdene virker segregerte, krysser de tre på flere steder.

Finansielle revisjoner innlemme mer enn bare standard gjennomgang av et selskaps bøker. Da Kongressen vedtok Sarbanes-Oxley Act of 2002 (SOX), inkluderte lovgivningen seksjon 404. Avsnitt 404 krever revisjon av finansielle rapporteringssystemer for å sikre samsvar med selskapets interne kontroller. It-sikkerhet, samsvar og finansiell rapportering overlapper hverandre i disse lovpålagte gjennomgangene.

Et annet område der de tre krysser hverandre er I SOC-rapportering. Mange kunder krever at leverandørene deres fullfører EN SOC-revisjon (Service Organization Control). Enten et selskap bestemmer seg for å engasjere SEG I EN SOC 1, SOC 2 eller SOC 3 rapport, må det ansette en revisor for å bestemme selskapets datasikkerhetsprotokoller. SOC rapportering kan ses SOM SOX-tilstøtende. For organisasjoner som forventer et FREMTIDIG SOX-samsvarsmandat, KAN SOC-rapportering tjene som verdifull forberedelse. Å engasjere EN it-sikkerhetsrevisor bidrar derfor ikke bare til å beskytte virksomhetens informasjonsressurser, men gir også muligheter til å skalere overholdelse.

Hva Skal En Organisasjon Se etter i EN It-Sikkerhetsrevisor?

Selv om Ikke ALLE IT-sikkerhetsrevisorer er Sertifiserte Offentlige Regnskapsførere (Cpaer), Tilbyr American Institute Of Certified Public Accountants (Aicpa) ressurser for å koble organisasjoner med Cpaer som har cybersikkerhetserfaring. Kombinere de to ferdighetssettene bidrar til å utvikle eller gi forsikringer for cybersikkerhetsplaner.for bedrifter som nettopp har begynt MED IT – sikkerhetskontroller, deler AICPA også forskning for å hjelpe viktige beslutninger, samt et rammeverk for å bestemme måter å skape effektiv risikostyringspraksis for cybersikkerhet.som malware angrep og ransomware angrep fortsetter å plage bedrifter, bedrifter trenger for å beskytte seg selv og sikre sine kunder er trygge. En datainnbrudd kan føre til konkurs, spesielt for små bedrifter.

HVA ER ET It-Sikkerhetsrevisjonsspor?

det mest tidkrevende aspektet ved EN it-sikkerhetsrevisjon er å opprette revisjonssporet. Et revisjonsspor består av dokumentasjonen som er gitt til revisor som viser bevis på prosesser for å sikre ET IT-miljø.

når du forbereder EN it-sikkerhetsrevisjon, må bedrifter starte med å organisere dokumentene som oppfyller revisjonskravene. Dokumentasjonen må bevise forretnings-og bransjekunnskap. Fordi revisor vil lese forrige års revisjonsrapport, er det lurt for et selskap å revidere det, også, og samle bevis for korrigerende tiltak. I tillegg må selskapene vise risikovurderinger, gjenstander av samsvar med regulatoriske lover og finansiell informasjon bevis utviklet i inneværende år.

videre MÅ it-avdelingen samle informasjon som viser IT – organisasjonsstruktur, retningslinjer og prosedyrer, standarder, personalliste, ytelse av ansatte og prosesser og internkontrolltester. All denne dokumentasjonen viser fakta som støtter revisors mening om sluttrapporten.

Hva Er Forskjellen Mellom Generelle Og Applikasjonskontroller?

Generelle kontroller fokuserer på de infrastrukturene som gjelder for hele virksomheten, inkludert, MEN ikke begrenset TIL IT. Generelle kontroller inkluderer, men er ikke begrenset til, operasjonelle, administrative, regnskapsmessige og organisatoriske.

Applikasjonskontroller fokuserer på transaksjon og data innen dataprogramsystemer. Derfor er disse spesifikke for selskapets IT-landskap. Applikasjonskontroller legger vekt på datanøyaktighet, spesielt selskapets input, processing and output (IPO) – funksjon.

Hvordan Effektiviserer It – Sikkerhetsprosessen It?

Revisjon AV IT-sikkerhet krever store mengder dokumentasjon. SaaS verktøy, Som ZenGRC, fremskynde prosessen med å samle informasjon. De hjelper også interessenter med å kommunisere bedre. Når flere områder i en organisasjon oppretter og forsøker å implementere sine egne kontroller, blir sikkerhetsrevisjonsdokumentasjon uhåndterlig og tidkrevende å kompilere.

ZenGRC forenkler IT-revisjonsprosessen, som begynner med risikovurderingsmodulene. ZenGRC tilbyr risikovurderingsmoduler som gir innsikt i både leverandørrisiko og selskapsrisiko. Risikotrenden og Risikoansvarsgrafikken gir lettfordøyelige, fargekodede visualer som gir ledelsen en oversikt over selskapets nåværende risiko.

Videre ZenGRC tillater organisasjoner å lagre sin revisjonsdokumentasjon på ett sted. I motsetning til delte stasjoner, Men Gjør zengrc administratorer å moderere brukertilgang effektivt. Denne modereringen holder postene trygge fra manipulering og letter også kommunikasjonen. Mens noen ansatte krever redigeringstilgang, trenger noen bare å vise dokumenter. ZenGRC gjør DET MULIG FOR IT-fagfolk å følge brukeradgangsprotokoller, selv innenfor deres revisjonsdokumentasjonsprosesser.Til Slutt genererer ZenGRC effektivt rapporter som oppfyller ulike behov. Det gir c-suite oversikten de trenger for å forstå IT-landskapet, samtidig som DET gir IT-fagfolk et sted å registrere dybden av informasjon som er nødvendig under EN IT-sikkerhetsrevisjon.