Firmy stoją w obliczu szerokiej gamy rządowych przepisów i wymogów prawnych. Spółki publiczne muszą posiadać swoje sprawozdania finansowe i systemy informatyczne (IT), które przechowują je regularnie, zgodnie z ustawą Sarbanes-Oxley. Standard bezpieczeństwa danych dotyczących kart płatniczych wymaga, aby firmy przetwarzające karty kredytowe były kontrolowane, aby upewnić się, że ich systemy komputerowe są skonfigurowane w bezpieczny sposób. Firmy zatrudniają zewnętrzne firmy audytorskie do sprawdzania swoich systemów i sprawdzania zgodności z tymi standardami.
Zadania
Audytorzy szukają kilku podstawowych rzeczy po przybyciu do firmy. Obejmują one udokumentowane zasady i procesy oraz dowody, że te zasady i procedury są przestrzegane. Im bardziej szczegółowe są zasady firmy, tym łatwiej audytorowi wykonuje swoją pracę. Firmy muszą ustanowić ramy, na podstawie których będą budować swoje polityki i procesy. Audytorzy IT są zaznajomieni ze standardami, takimi jak Control Objectives for IT (COBIT) lub ISO 27001. Każda z tych firm przewodników udostępnia listy kontrolne, w jaki sposób zabezpieczyć poufne dane. Audytorzy używają tych list kontrolnych, aby zapewnić dokładny audyt.
Przykładowa lista kontrolna dokumentacji, zasad i procedur
- Ustal, czy proces zarządzania zmianami istnieje i jest formalnie udokumentowany.
- Określ, czy operacje zarządzania zmianą mają aktualną listę właścicieli systemu.
- Określ odpowiedzialność za zarządzanie i koordynację zmian.
- Określ proces eskalacji i sprawdzania nieautoryzowanych zmian.
- Określ przepływy zarządzania zmianami w organizacji.
Przykładowa lista kontrolna inicjowania zmian i zatwierdzania
- Sprawdź, czy metodologia jest używana do inicjowania i zatwierdzania zmian.
- Określ, czy priorytety są przypisane do żądań zmian.
- Sprawdź przewidywany czas ukończenia, a koszty są przekazywane.
- Oceń proces używany do kontrolowania i monitorowania zmian.
Przykładowa lista kontrolna bezpieczeństwa IT.
- Potwierdź, że wszystkie niepotrzebne i niezabezpieczone protokoły są wyłączone.
- Sprawdź, czy minimalne długości hasła są ustawione na 7 znaków.
- Sprawdź, czy używane są skomplikowane hasła.
- Upewnij się, że system jest aktualny z poprawkami i dodatkami Service Pack.
- Sprawdź, czy starzenie się hasłem ma wartość 60 dni lub mniej.
