За последнее десятилетие предприятия всех размеров вложили значительные средства в облачные технологии. Хотя они хотят получить конкурентное преимущество, оставаясь в курсе последних событий, внедрение новых технологий неизбежно приносит с собой новые опасности, такие как взлом и утечка данных. Поскольку такие события могут оказать негативное влияние на любую фирму, управление технологическими рисками и признание ценности ИТ-аудитов становятся все более важными.
Узнайте все, что нужно знать об ИТ-аудите, функциях ИТ-аудитора и о том, как они могут защитить вашу фирму от нарушений информационной безопасности.
Что такое ИТ-аудит?
ИТ-аудит, также известный как аудит информационных технологий, представляет собой исследование и обзор систем, инфраструктур, политик и действий информационных технологий. ИТ-аудиты позволяют корпорации проверить, защищают ли имеющиеся средства управления ИТ корпоративные активы, сохраняют целостность данных и соответствуют ли они бизнес- и финансовым средствам контроля организации.
В то время как большинство людей знают о финансовых аудитах, которые анализируют финансовое положение организации, ИТ-аудиты по-прежнему являются относительно новым явлением, которое становится все более важным по мере развития облачных технологий. ИТ-аудит проверяет действующие политики и процессы безопасности, а также общее управление ИТ.
ИТ-аудитор, как непредвзятый наблюдатель, следит за тем, чтобы эти меры применялись правильно и эффективно, что делает фирму менее уязвимой к утечке данных и другим проблемам безопасности. Даже при обеспечении надлежащей безопасности и соответствия требованиям должен быть план действий на случай непредвиденного события, угрожающего здоровью и репутации проверяемой организации.
Затем узнайте больше о должности, навыках, обязанностях и сертификатах ИТ-аудитора.
Роль ИТ-аудитора
ИТ-аудитор создает, внедряет, тестирует и оценивает все процедуры проверки ИТ-аудита внутри технологической фирмы. Эти методы аудита могут охватывать сети, программные приложения, системы связи и безопасности, а также любые другие системы, являющиеся частью технологической инфраструктуры организации.
ИТ-аудиторы играют решающую роль в защите бизнеса и его конфиденциальных данных от внешних и внутренних угроз безопасности, выполняя проекты аудита, связанные с ИТ, и придерживаясь установленных стандартов ИТ-аудита. Ведь даже незначительные технические ошибки могут иметь далеко идущие последствия для всего предприятия.
Обязанности ИТ-аудитора
Теперь вы понимаете, почему ИТ-аудиторы играют такую важную роль в компании, которая полагается на технологии. Но на практике, каковы их фактические обязанности? Самые необходимые из них перечислены здесь.
- Планирование и разработка планов аудиторских испытаний
- Определение области и целей аудита
- Осуществление аудиторской деятельности и координация
- Соблюдение требований аудита компании
- Создание подробных аудиторских отчетов
- Поиск лучших стратегий для выполнения требований аудита
- Актуализация и ведение документов ИТ-аудита
- Распространение результатов аудита и рекомендаций
- Убедиться, что прежние рекомендации были соблюдены
Навыки ИТ-аудита
Навыки, необходимые для работы ИТ-аудитора, могут различаться в зависимости от отрасли, в которой они работают. Однако при найме ИТ-аудитора большинство фирм ищут определенный набор навыков. Среди этих навыков:
- Формальная квалификация. Хотя формальная квалификация не всегда необходима, она может помочь ИТ-аудиторам применять методический подход к своей работе.
- Предыдущий опыт работы в области безопасности данных и ИТ-аудита обычно является преимуществом.
- Понимание основных бизнес-процессов: это помогает ИТ-аудитору связать ИТ-системы с ценностью, которую они добавляют для бизнеса.
- Понимание важнейших ИТ-процессов позволяет ИТ-аудитору определять приоритеты ИТ-рисков.
- ИТ-аудиторы должны уметь использовать инструменты анализа и визуализации данных, а также обладать сильными навыками аналитического и логического мышления.
- При обсуждении сложных вопросов безопасности с нетехническими управленческими командами требуются сильные коммуникативные навыки.
Зарплата ИТ-аудитора
Неудивительно, что с развитием новых облачных технологий должность аудитора информационных технологий пользуется большим спросом. В конце концов, предприятия всех размеров и отраслей внедряют новые технологические разработки. Итак, сколько зарабатывает ИТ-аудитор?
Зарплата ИТ-аудитора может варьироваться от 44 тысяч долларов на начальном уровне до 143 тысяч долларов для директоров или менеджеров ИТ-аудиторов, в зависимости от опыта, квалификации и местоположения. Это указывает на то, что средняя годовая зарплата ИТ-аудитора в США в настоящее время составляет 93 тысячи долларов, или 45 долларов в час.
Сертификация ИТ-аудита
ИТ-аудиторы могут повысить свои шансы на трудоустройство и хорошую заработную плату, получив сертификаты, связанные с работой. Два наиболее частых перечислены ниже.
- Сертифицированный аудитор информационных систем (CISA): Он предназначен для экспертов по информационной безопасности, а также для аудиторов информационных технологий. ИТ-аудиторы должны иметь не менее пяти лет профессионального опыта в области ИТ-аудита, прежде чем они смогут получить этот сертификат.
- Сертифицированный менеджер по информационной безопасности (CISM): Эти полномочия предназначены для менеджеров по информационной безопасности и направлены на разработку и поддержку программ информационной безопасности. Для получения этого сертификата лица должны иметь не менее пяти лет опыта работы в области информационных технологий и три года работы менеджером по безопасности.
Цели ИТ-аудита
Аудитор должен определить цели аудита и убедиться, что они соответствуют общим целям компании на этапе подготовки ИТ-аудита. Как правило, основными целями являются одна из следующих:
- Оценка систем и процессов, предназначенных для защиты корпоративных данных.
- Выявление возможных угроз информационным активам и разработка стратегий смягчения последствий.
- Проверка достоверности и целостности информации.
- Проверка соответствия управления информацией законам, политикам и стандартам о защите данных.
- Создание неэффективности в ИТ-системах или управлении.
Виды ИТ-аудитов
Как и следовало ожидать, различные органы или организации внутри или за пределами корпорации могут инициировать различные виды ИТ-аудитов. В следующих разделах будут рассмотрены наиболее часто встречающиеся типы.
№1. Аудит технологического инновационного процесса
Продолжительность и глубина опыта организации с конкретными технологиями анализируются в ходе этого аудита для создания индивидуального профиля рисков. Это может быть применено к новым или текущим технологическим проектам. Также учитывается присутствие компании на соответствующих рынках.
№ 2. Инновационный сравнительный аудит
Этот ИТ-аудит сравнивает инновационные возможности организации с возможностями ее крупнейших конкурентов. Аудиторы тщательно изучают послужной список компании в области разработки новых продуктов, а также ее разработки и исследовательские центры.
№3. Аудит технологической позиции
Этот аудит исследует исключительно технологии, которые организация использует в настоящее время, и ценность, которую они обеспечивают для более широкой бизнес-цели. Это помогает решить, нужны ли новые технологии. Последние обычно классифицируются с использованием такой терминологии, как базовая, ключевая, темповая и возникающая.
№ 4. Приложения и системы
Этот аудит инициируется, чтобы убедиться, что все системы и приложения работают эффективно, надежны и контролируются должным образом. Существуют также аудиты систем и процессов, которые помогают финансовым аудиторам. Дисциплина управления SaaS, которая может просто раскрывать все используемые приложения для аудита программного обеспечения, приносит пользу облачным инфраструктурам.
№ 5. Средства обработки информации
Помимо прикладного аудита проводится аудит средств обработки информации. Сюда входит все физическое ИТ-оборудование, операционные системы и вся ИТ-инфраструктура. Аудиторы обеспечивают своевременную и точную работу производственных мощностей даже в случае сбоев.
№ 6. Проектирование систем
ИТ-инфраструктура постоянно меняется по мере разработки и внедрения новых и лучших решений. Компании должны убедиться, что разрабатываемые системы соответствуют их целям и бизнес-требованиям, прежде чем развертывать их в быстро меняющейся облачной среде.
№ 7. Управление ИТ и архитектура предприятия
Цель этого аудита — определить, создали ли руководство и сотрудники ИТ организационную структуру и надежные процедуры для обеспечения безопасности и контроля обработки информации. Это включает в себя изучение архитектуры предприятия, а также инструментов, используемых для лучших практик и сред.
№8. Телекоммуникации, интранет и экстранет, клиент и сервер
Как следует из названия, этот ИТ-аудит фокусируется на клиентской и серверной сторонах. Аудиторы следят за тем, чтобы все телекоммуникационные средства управления функционировали должным образом и своевременно для компьютера, получающего услугу. Сюда входят не только серверы, но и сеть, соединяющая клиента с серверами.
Методология ИТ-аудита
Хотя сам ИТ-аудит обычно занимает несколько дней, на самом деле процесс начинается намного раньше, когда вы смотрите в свой календарь и начинаете планировать аудит в будущем.
Шаг 1. Спланируйте аудит.
Первый вариант будет заключаться в том, следует ли провести внутренний аудит или заплатить внешнему аудитору, чтобы тот пришел и представил стороннюю точку зрения на ваши ИТ-системы. Внешние аудиты более типичны для крупных предприятий или компаний, которые имеют дело с конфиденциальной информацией.
Для подавляющего большинства предприятий внутренний аудит является более чем адекватным и гораздо менее затратным для планирования. Если вы хотите быть особенно осторожным, настройте ежегодный внутренний аудит и нанимайте внешнего аудитора каждые несколько лет.
При организации аудита вы должны решить следующее:
- Кто будет вашим аудитором. (независимо от того, выбираете ли вы независимого аудитора или сотрудника для проведения аудита)?
- Когда будет ваш аудит?
- Какие процедуры необходимо внедрить для подготовки вашего персонала к аудиту?
Аудитору, скорее всего, потребуется встретиться с несколькими сотрудниками и руководителями групп, чтобы узнать о рабочих процессах ИТ в вашей компании, поэтому убедитесь, что вы не планируете аудит в то время, когда ваш персонал перегружен другими задачами.
Шаг № 2: Подготовьтесь к аудиту.
После того, как вы установили общий период времени, вам нужно будет сотрудничать со своей аудиторской группой, чтобы подготовиться к самому аудиту. Краткий список вещей, которые следует учитывать в это время, включает в себя:
- Цели вашего аудита
- Объем аудита (какие области оцениваются и на каком уровне детализации аудитор будет проводить свою оценку)
- Как будет документально оформляться аудит?
Тщательный график аудита (какие отделы будут оцениваться в какие дни и сколько времени отделы должны выделять на аудит)
Помните, что контрольный список, хотя и необходим, не является достаточной документацией для аудита. Цель проведения этой оценки — получить полное представление о недостатках вашей инфраструктуры, а также разработать индивидуальные практические стратегии для их устранения. Для этого вам понадобится более сложная система, чем лист бумаги и буфер обмена.
Шаг №3: Проведите аудит
Да, проведение аудита — это всего лишь третий из пяти шагов в процессе аудита. Этот шаг не требует пояснений: если вы успешно выполнили второй шаг, третьим будет просто выполнение плана, который вы составили.
Помните, что даже самые продуманные планы мышей и людей (или, в данном случае, мышей и клавиатур) часто идут наперекосяк, поэтому на этом этапе также может потребоваться преодоление любых препятствий, возникающих в последнюю минуту. Удостоверьтесь, что вы оставили достаточно времени, чтобы вас не торопили — если что-то упущено в аудите, это полностью лишает вас смысла.
Шаг № 4: Задокументируйте свои результаты.
После завершения аудита у вас должен быть большой файл документов с примечаниями, выводами и рекомендациями аудитора. Следующим шагом является сбор всей этой информации в официальном аудиторском отчете. Этот документ вы сохраните в файле для дальнейшего использования и поможет спланировать аудит на следующий год.
Затем по каждому проверяемому отделу следует подготовить отдельные отчеты. Подведите итоги того, что было изучено, перечислите пункты, которые не требуют изменений, и выделите то, что отдел делает исключительно хорошо. Затем предоставьте сводку уязвимостей, обнаруженных аудитором, и классифицируйте их следующим образом:
- Риски, возникающие в результате несоблюдения установленных процедур, потребуют корректирующих действий.
- Риски, связанные с уязвимостями, которые остались незамеченными до проведения аудита, потребуют разработки новых средств защиты.
- Риски, присущие работе отдела, вряд ли будут полностью устранены, но аудитор может обнаружить меры по их снижению.
Объясните, какие следующие меры будут предприняты для устранения выявленных рисков по каждому пункту. В тех случаях, когда опасность возникла из-за преднамеренной небрежности, вам также следует проконсультироваться со своим отделом кадров для получения совета о том, как справиться с проблемой.
Шаг № 5: Поддерживайте контакт
Будем честными: многие (если не большинство) уязвимости инфраструктуры являются результатом человеческой ошибки. Человеческая ошибка также может саботировать решения, которые ваша команда внедряет для устранения проверенных рисков.
После предоставления результатов отчета запланируйте последующую встречу с каждой командой, чтобы убедиться, что исправления были успешно применены. Рекомендуется запланировать несколько контрольных проверок в течение года, чтобы проверить каждую команду и убедиться, что все работает гладко до следующего аудита.
Настройте автоматическое отслеживание KPI и отчетность по мере того, как ваша организация начинает внедрять свои новые решения, чтобы вы могли измерять влияние каждого изменения. Извлекайте эти отчеты, когда вы связываетесь со своей командой в течение нескольких месяцев после аудита, чтобы проанализировать производительность и устранить все, что не работает так, как планировалось.
Вы также можете автоматизировать эти «проверки», выполняя регулярные проверки уязвимостей и отслеживая производительность системы. Вместо того, чтобы перегружать свой календарь отдельными встречами по регистрации, вы можете делегировать тяжелую работу своему техническому специалисту и вмешиваться только при получении сигнала тревоги.
Приглашение на работу ИТ-аудитора
Если вы не хотите проводить ИТ-аудит самостоятельно, рекомендуется нанять ИТ-аудитора. В их обязанности входит изучение не только мер физической безопасности, но и общего делового и финансового контроля, включающего всю систему информационных технологий.
Когда вы нанимаете ИТ-аудитора, он должен определить пять элементов, чтобы точно собрать соответствующую информацию:
- Деловые и отраслевые знания и информация
- Результаты аудита предыдущих аудитов
- Последняя финансовая информация
- Нормативное законодательство
- Результаты оценки рисков
После того, как ИТ-аудитор определит, задокументирует, обобщит и представит результаты аудита акционерам, они предложат предложения, основанные на результатах. В их обязанности входит соблюдение корпоративной этики, управление рисками, бизнес-процедуры и мониторинг управления.
Заключение
Компании берут на себя повышенные риски безопасности и накапливают теневые ИТ-ресурсы по мере расширения использования приложений SaaS и облачных систем. ИТ-аудит, когда он проводится эффективно, дает знания и столь необходимую прозрачность.
Они могут предоставлять компаниям информацию и данные, необходимые им для обеспечения наличия надлежащих средств контроля и максимально эффективного снижения рисков. В результате конфиденциальные данные защищены от хакеров и других угроз безопасности.
Статьи по теме
- Финансовый аудит: все, что вам нужно, упрощено!! (+ Подробный pdf)
- ЗАРПЛАТА ИТ-АУДИТОРА: Средняя заработная плата (обновлено!)
- СИСТЕМА УПРАВЛЕНИЯ АУДИТОМ: типы и лучшие инструменты аудита на рынке
- ФИНАНСОВЫЙ АУДИТ: смысл, зарплата, заявления, сравнения и все, что вам нужно
- ЗАРПЛАТА АУДИТОРА: полное руководство и списки
Рекомендации
