過去 XNUMX 年間、あらゆる規模の企業がクラウド テクノロジに多額の投資を行ってきました。 彼らは最新の状態を維持することで競争上の優位性を得たいと考えていますが、新しいテクノロジーの採用は必然的に、ハッキングやデータ侵害などの新しい危険をもたらします. このような事態はあらゆる企業に悪影響を及ぼす可能性があるため、テクノロジー リスク管理と IT 監査の価値の認識がますます重要になっています。
IT 監査、IT 監査者の機能、および IT 監査者が企業を情報セキュリティ違反から保護する方法について知っておくべきことをすべて学びましょう。
IT監査とは？
情報技術監査とも呼ばれる IT 監査は、情報技術システム、インフラストラクチャ、ポリシー、および活動の調査とレビューです。 IT 監査により、企業は、現在の IT コントロールが企業資産を保護し、データの整合性を維持し、組織のビジネスおよび財務コントロールに沿っているかどうかを確認できます。
ほとんどの人は、組織の財務状況を分析する財務監査を認識していますが、IT 監査はまだ比較的新しい現象であり、クラウド テクノロジの進歩に伴い重要性が増しています。 IT 監査では、実施されているセキュリティ ポリシーとプロセス、および全体的な IT ガバナンスを確認します。
IT 監査人は、公平なオブザーバーとして、これらの対策が正しく効果的に展開されていることを確認し、データ侵害やその他のセキュリティ上の懸念に対する企業の脆弱性を軽減します。 適切なセキュリティとコンプライアンスが提供されたとしても、調査対象の組織の健全性と評判を脅かす予期せぬ出来事が発生した場合に備えて、行動計画を策定する必要があります。
次に、IT 監査員の地位、スキル、職務、資格について詳しく見ていきましょう。
IT 監査人の役割
IT 監査人は、テクノロジーベースの企業内のすべての IT 監査レビュー手順を作成、実装、テスト、および評価します。 これらの監査方法は、ネットワーク、ソフトウェア アプリケーション、通信およびセキュリティ システム、および組織の技術インフラストラクチャの一部であるその他のシステムをカバーできます。
IT 監査人は、IT 関連の監査プロジェクトを実行し、確立された IT 監査基準を遵守することにより、外部および内部のセキュリティの脅威からビジネスとその機密データを保護する上で重要な役割を果たします。 結局のところ、些細な技術的エラーでさえ、企業全体に広範囲に及ぶ結果をもたらす可能性があります。
IT監査人の責任
これで、IT 監査人がテクノロジーに依存する企業で非常に重要な役割を果たす理由が理解できました。 しかし、実際には、彼らの実際の責任は何ですか? 最も重要なものはここにリストされています。
- 監査テスト計画の計画と開発
- 監査の範囲と目標の定義
- 監査活動の実施と調整
- 会社の監査要件の遵守
- 徹底した監査報告書の作成
- 監査要件を満たすための最善の戦略を見つける
- IT監査文書の更新と維持
- 監査結果と推奨事項の普及
- 以前のアドバイスに従っていることを確認する
IT監査スキル
IT 監査人の雇用に必要なスキルは、彼らが活動する業界によって異なる場合があります。 ただし、IT 監査人を採用する場合、ほとんどの企業は特定のスキル セットを求めます。 これらのスキルには次のものがあります。
- 正式な資格: 常に必須というわけではありませんが、正式な資格は、IT 監査人が自分の仕事に対して体系的なアプローチを取るのに役立ちます。
- 通常は、データ セキュリティと IT 監査に関する前職の専門知識が有利です。
- 重要なビジネス プロセスを理解する: これは、IT 監査人が IT システムをビジネスに付加する価値に結び付けるのに役立ちます。
- 重要な IT プロセスを理解することで、IT 監査人は IT リスクに優先順位を付けることができます。
- IT 監査人は、データ分析および視覚化ツールを使用でき、強力な分析および論理的推論スキルを備えている必要があります。
- 複雑なセキュリティ問題について非技術的な管理チームと話し合うには、強力なコミュニケーション スキルが必要です。
IT監査給与
新しいクラウド技術の発展に伴い、情報技術監査員の地位が非常に求められていることは驚くべきことではありません。 結局のところ、あらゆる規模と業界の企業が新しい技術開発を採用しています。 では、IT監査人はいくら稼いでいるのでしょうか?
IT 監査員の給与は、経験、資格、および勤務地に応じて、初級レベルの 44 万 143 ドルから IT 監査ディレクターまたはマネージャーの 93 万 45 ドルまで幅があります。 これは、米国の IT 監査人の平均年収が現在 XNUMX ドル、つまり時給 XNUMX ドルであることを示しています。
IT監査認定
IT 監査人は、仕事に関連する資格を取得することで、雇用され、十分な報酬を得られる可能性を高めることができます。 最も頻度の高い XNUMX つを以下に示します。
- 公認情報システム監査人（CISA）: 情報セキュリティの専門家および情報技術監査人を対象としています。 IT 監査人は、この資格を取得する前に、IT 監査の分野で少なくとも XNUMX 年間の専門的経験を持っている必要があります。
- 認定情報セキュリティ管理者 (CISM): この資格は、情報セキュリティ マネージャーを対象としており、情報セキュリティ プログラムの開発と維持に重点を置いています。 この証明書を取得するには、IS の経験が XNUMX 年以上あり、セキュリティ マネージャーとして XNUMX 年間働いている必要があります。
IT 監査の目的
監査人は、監査の目的を特定し、IT 監査の準備段階でそれらが会社全体の目的に対応していることを確認する必要があります。 通常、主な目的は次のいずれかです。
- 企業データを保護するために設計されたシステムとプロセスの評価。
- 情報資産に対する潜在的な脅威を特定し、緩和戦略を開発します。
- 情報の信頼性と完全性を検証します。
- 情報管理がデータ保護法、ポリシー、および標準に準拠しているかどうかを確認します。
- IT システムまたは管理の非効率性を生み出す。
IT監査の種類
ご想像のとおり、企業内外のさまざまな当局や団体が、さまざまな種類の IT 監査を開始する可能性があります。 次のセクションでは、最も頻繁に使用されるタイプについて説明します。
＃1。 技術革新プロセス監査
この監査では、特定のテクノロジに関する組織の経験の期間と深さが分析され、個々のリスク プロファイルが作成されます。 これは、新しい技術プロジェクトまたは現在の技術プロジェクトに適用できます。 また、関連する市場における会社のプレゼンスも考慮されます。
＃2。 革新的な比較監査
この IT 監査では、組織の革新的な能力を最大の競合他社の能力と比較します。 監査人は、新製品の開発における同社の実績と、その開発および研究施設を精査します。
＃3。 技術職監査
この監査では、組織が現在採用しているテクノロジーと、それらがより広範なビジネス目標に提供する価値のみを調べます。 これは、新しいテクノロジーが必要かどうかを判断するのに役立ちます。 後者は通常、ベース、キー、ペーシング、エマージングなどの用語を使用して分類されます。
＃4。 アプリケーションとシステム
この監査は、すべてのシステムとアプリケーションが効率的に機能し、信頼性が高く、適切に管理されていることを確認するために開始されます。 財務監査人を支援するシステムおよびプロセス保証監査もあります。 ソフトウェア監査のために使用されているすべてのアプリケーションを単純に開示する SaaS 管理規律は、クラウドを多用するインフラストラクチャにメリットをもたらします。
＃5。 情報処理施設
申請審査の他に、情報処理設備の審査があります。 これには、すべての物理的な IT 機器、オペレーティング システム、および IT インフラストラクチャ全体が含まれます。 監査人は、混乱に直面した場合でも、処理施設がタイムリーかつ正確に動作することを保証します。
＃6。 システムの設計
より新しく優れたソリューションが開発および実装されるにつれて、IT インフラストラクチャは絶えず変化しています。 企業は、急速に変化するクラウド環境にシステムを展開する前に、開発中のシステムが目的を満たし、ビジネス要件に準拠していることを確認する必要があります。
＃7。 IT 管理とエンタープライズ アーキテクチャ
この監査の目的は、IT 管理者と従業員が、情報処理を保護および制御するための組織構造と健全な手順を確立しているかどうかを判断することです。 これには、エンタープライズ アーキテクチャの調査と、ベスト プラクティスとフレームワークに使用されるツールが含まれます。
#8。 通信、イントラネットとエクストラネット、クライアントとサーバー
タイトルが示すように、この IT 監査はクライアント側とサーバー側に焦点を当てています。 監査人は、サービスを受けるコンピュータに対して、すべての通信制御が適切かつタイムリーに機能することを確認します。 これには、サーバーだけでなく、クライアントをサーバーに接続するネットワークも含まれます。
IT 監査の方法論
通常、IT 監査自体には数日かかりますが、予定表を見て、将来の監査のスケジュールを設定し始めると、プロセスは実際にははるかに早く始まります。
ステップ1。 監査を計画します。
最初の選択肢は、内部監査を実施するか、外部監査人に報酬を支払って参加し、IT システムに関する第三者の視点を提供するかです。 外部監査は、機密情報を扱う大企業や企業でより一般的です。
大多数の企業にとって、内部監査は十分すぎるほど十分であり、計画するのにはるかに費用がかかりません。 さらに慎重になりたい場合は、年に一度の内部監査を設定し、数年ごとに外部監査人を雇ってください。
監査を組織するときは、次のことを決定する必要があります。
- 誰があなたの監査人になります。 (独立した監査人を選ぶか、監査を担当する従業員を選ぶか)?
- 監査はいつ行われますか?
- 従業員を監査に備えるために、どのような手順を実施する必要がありますか?
監査人は、会社の IT ワークフローについて学ぶために複数の従業員やチーム マネージャーと会う必要がある可能性が高いため、従業員が他のタスクで過負荷になっている時間帯に監査をスケジュールしないようにしてください。
ステップ #2: 監査の準備をします。
一般的な期間を設定したら、監査チームと協力して監査自体の準備を行う必要があります。 現時点で考慮すべき事項の短いリストには、次のものが含まれます。
- 監査の目標
- 監査範囲 (どの領域が評価され、監査人はどのレベルの詳細で評価を行うか)
- 監査はどのように文書化されますか?
綿密な監査スケジュール (どの部門がどの日に評価されるか、および部門が監査のために予算を組むべき時間)
チェックリストは必要ではありますが、監査のための十分な文書ではないことに注意してください。 この評価を実行する目的は、インフラストラクチャの欠陥を完全に理解し、それらに対処するためのカスタマイズされた実用的な戦略を得ることです。 そのためには、紙とクリップボードよりも洗練されたシステムが必要です。
ステップ #3: 監査を実施する
はい、監査の実施は、監査プロセスの XNUMX つのステップのうちの XNUMX 番目にすぎません。 このステップは非常に自明です。ステップ XNUMX を正常に実行した場合、ステップ XNUMX は作成した計画を実行するだけです。
マウスと人間 (または、この場合はマウスとキーボード) の最善を尽くした計画でさえ失敗することが多いため、このフェーズには土壇場での障害を克服することも含まれる場合があることを忘れないでください。 慌てないように十分な時間を確保してください。監査で何かを見逃してしまうと、ポイントが完全に無効になります。
ステップ #4: 結果を文書化します。
監査が完了すると、監査員のメモ、結論、および推奨事項が記載された大量のドキュメント ファイルが作成されます。 次のステップでは、このすべての情報を公式の監査レポートにまとめます。 これは、将来の参照用にファイルに保管し、翌年の監査の計画に役立てるための文書です。
次に、監査対象部門ごとに、個別のレポートを作成する必要があります。 調査した内容を要約し、修正を必要としない項目をリストし、部門が非常に優れていることを強調します。 次に、監査人が発見した脆弱性の概要を提供し、次のように分類します。
- 確立された手順の不遵守に起因するリスクには、是正措置が必要です。
- 監査前に検出されなかった脆弱性によってもたらされるリスクには、新しい対策の開発が必要になります。
- 部門の業務に内在するリスクが完全に取り除かれることはまずありませんが、監査人はそれらを軽減する手段を発見する可能性があります。
特定されたリスクに対処するための次の措置がどのようなものであるかを、各項目で説明してください。 故意の不注意によって危険が生じた場合は、問題の管理方法について人事部に相談する必要があります。
ステップ #5: 連絡を維持する
正直に言うと、インフラストラクチャの脆弱性の多く (ほとんどではないにしても) は、人的ミスの結果です。 ヒューマン エラーは、監査対象のリスクに対処するためにチームが実装するソリューションを妨害する可能性があります。
レポート結果を提出したら、各チームとのフォローアップ ミーティングをスケジュールして、修正が正常に適用されたことを確認します。 年内にいくつかのフォローアップを計画して、各チームにチェックインし、次の監査まですべてがスムーズに実行されていることを確認することをお勧めします.
組織が新しいソリューションの実装を開始したら、自動 KPI 追跡とレポートを設定して、各変更の影響を測定できるようにします。 監査の次の月にチームにチェックインするときにこれらのレポートを引き出して、パフォーマンスを分析し、計画どおりに実行されていないものを解決します。
また、定期的な脆弱性チェックを行い、システム パフォーマンスを監視することで、これらの「チェックイン」を自動化することもできます。 個々のチェックイン会議で予定表を過負荷にする代わりに、重労働を技術者に委任し、アラームが受信されたときにのみ介入することができます.
IT監査人の募集
自分で IT 監査を行いたくない場合は、IT 監査人を雇うことをお勧めします。 物理的なセキュリティ対策だけでなく、完全な情報技術システムを含む全体的なビジネスおよび財務管理を調査することは、彼らの責任です。
IT 監査人を雇う場合、関連情報を正確に収集するために、次の XNUMX つの項目を特定する必要があります。
- ビジネスおよび業界の知識と情報
- 以前の監査の監査結果
- 最近の財務情報
- 規制法
- リスク評価の結果
IT 監査人は、監査結果を特定、文書化、要約し、株主に提示すると、その結果に基づいて提案を行います。 彼らの責任には、企業倫理、リスク管理、ビジネス手順、およびガバナンスの監視への対処が含まれます。
まとめ
企業は、SaaS アプリケーションとクラウドベースのシステムの使用を増やすにつれて、より大きなセキュリティ リスクを負い、シャドー IT を蓄積しています。 IT 監査は、効果的に行われると、知識と非常に必要な可視性を生み出します。
それらは、適切な管理が実施され、リスクが可能な限り効果的に軽減されることを保証するために必要な情報とデータを企業に提供する場合があります。 その結果、機密データはハッカーやその他のセキュリティの脅威から保護されます。
関連記事
- 会計監査：必要なものはすべて、簡素化されています!! （+詳細PDF）
- IT監査人の給与：平均給与（更新されました！）
- 監査管理システム: 市場での種類と最高の監査ツール
- 財務監査: 意味、給与、ステートメント、比較 & 必要なすべて
- 監査人の給与：包括的なガイドとリスト
参考文献
