Контролен лист за вътрешен одит Проби

Компаниите са изправени пред широк набор от правителствени разпоредби и законови изисквания. Публичните компании трябва да имат своите финансови отчети и системите за информационни технологии (ИТ), които ги съхраняват редовно в съответствие със Закона Сарбейнс-Оксли. Стандартът за защита на данните за индустрията за плащане с карти изисква компаниите, които обработват кредитни карти, да бъдат одитирани, за да се гарантира, че компютърните им системи са конфигурирани сигурно. Компаниите наемат одиторски фирми от трета страна, които да инспектират техните системи и да проверяват спазването на тези стандарти.

Задачи

Одиторите търсят няколко основни неща при пристигането си в компания. Те включват документирани политики и процеси и доказателства, че тези политики и процедури се спазват. Колкото по-подробна е политиката на компанията, толкова по-лесно е за одитора да върши работата си. Компаниите трябва да създадат рамка, в която да изграждат своите политики и процеси. Одиторите на ИТ са запознати със стандартите като контролни цели за ИТ (COBIT) или ISO 27001. Всяка от тези ръководни компании предоставя контролни списъци за осигуряване на чувствителни данни. Одиторите използват тези контролни списъци, за да осигурят задълбочен одит.

Примерна документация, правила за проверка и процедури

1. Определете дали съществува процес на управление на промените и той е официално документиран.
2. Определете дали операциите по управление на промените имат текущ списък на собствениците на системи.
3. Определете отчетност за управлението и координирането на промените.
4. Определете процеса за ескалиране и разследване на неразрешени промени.
5. Определете потоците на управление на промените в организацията.

Контролен списък за иницииране на пробата и одобрение

1. Проверка на използваната методология за започване и одобряване на промени.
2. Определете дали на заявките за промяна са присвоени приоритети.
3. Проверете очакваното време до приключване и разходите се съобщават.
4. Оценете процеса, използван за контрол и наблюдение на промените.

Примерен контролен списък за ИТ сигурност.

1. Потвърдете, че всички ненужни и несигурни протоколи са деактивирани.
2. Проверете дали минималните дължини на паролата са зададени на 7 знака.
3. Проверете дали се използват сложни пароли.
4. Уверете се, че системата е актуална с пачове и сервизни пакети.
5. Проверете дали стареенето на паролата е зададено на 60 дни или по-малко.