在过去十年中，各种规模的企业都对云技术进行了大量投资。 虽然他们希望通过保持最新状态来获得竞争优势，但新技术的采用不可避免地会带来新的危险，例如黑客攻击和数据泄露。 由于此类事件可能对任何公司产生负面影响，因此技术风险管理和认识到 IT 审计的价值变得越来越重要。
了解有关 IT 审计、IT 审计员的职能以及他们如何保护您的公司免受信息安全漏洞侵害的所有知识。
什么是 IT 审计？
IT 审计，也称为信息技术审计，是对信息技术系统、基础设施、政策和活动的调查和审查。 IT 审计允许公司验证其现有的 IT 控制是否保护公司资产、保持数据完整性并符合组织的业务和财务控制。
虽然大多数人都知道分析组织财务状况的财务审计，但 IT 审计仍然是一个相对较新的现象，随着云技术的进步变得越来越重要。 IT 审计检查现有的安全策略和流程，以及整体 IT 治理。
IT 审计员作为公正的观察者，确保正确有效地部署这些措施，使公司不易受到数据泄露和其他安全问题的影响。 即使提供了适当的安全性和合规性，也必须制定行动计划以应对威胁被检查组织的健康和声誉的意外事件。
接下来，了解有关 IT 审计员的职位、技能、职责和认证的更多信息。
IT 审计员角色
IT 审计员创建、实施、测试和评估基于技术的公司内部的所有 IT 审计审查程序。 这些审计方法可以涵盖网络、软件应用程序、通信和安全系统，以及作为组织技术基础设施一部分的任何其他系统。
IT 审计师通过执行与 IT 相关的审计项目并遵守既定的 IT 审计标准，在保护企业及其敏感数据免受外部和内部安全威胁方面发挥着关键作用。 毕竟，即使是很小的技术错误也会对整个企业产生深远的影响。
IT 审计师的职责
您现在明白了为什么 IT 审计员在一家依赖技术的公司中扮演如此重要的角色。 但是，在实践中，他们的实际职责是什么？ 最重要的列在这里。
- 规划和制定审计测试计划
- 定义审计范围和目标
- 审计活动的执行和协调
- 遵守公司的审计要求
- 创建全面的审计报告
- 寻找满足审计要求的最佳策略
- 更新和维护 IT 审计文件
- 传播审计结果和建议
- 确保之前的建议已被遵循
IT审计技巧
IT 审计师就业所需的技能可能因他们所在的行业而异。 然而，在雇用 IT 审计员时，大多数公司都在寻找一套特定的技能。 这些技能包括：
- 正式资格：虽然并不总是必不可少的，但正式资格可以帮助 IT 审计员对他们的工作采取有条不紊的方法。
- 以前在数据安全和 IT 审计方面的工作经验通常是有利的。
- 了解基本业务流程：这有助于 IT 审计员将 IT 系统与它们为业务增加的价值联系起来。
- 了解关键 IT 流程使 IT 审计员能够确定 IT 风险的优先级。
- IT审计员应该能够使用数据分析和可视化工具，并具有很强的分析和逻辑推理能力。
- 与非技术管理团队讨论复杂的安全问题时，需要很强的沟通技巧。
IT审计工资
毫不奇怪，随着新的云技术的发展，信息技术审计员的职位需求量很大。 毕竟，各种规模和行业的企业都在采用新技术的发展。 那么，IT 审计师的收入是多少？
IT 审计员的薪水从入门级的 44 美元到 IT 审计员主管或经理的 143 美元不等，具体取决于经验、资格和地点。 这表明美国 IT 审计员的平均年薪目前为 93 美元，即每小时 45 美元。
IT审计认证
IT 审计员可以通过获得与工作相关的认证来提高他们被雇用和获得高薪的机会。 下面列出了最常见的两个。
- 注册信息系统审计师（CISA）：它适用于信息安全专家和信息技术审计员。 IT 审计员必须在 IT 审计领域拥有至少五年的专业经验才能获得此证书。
- 认证信息安全经理 (CISM)： 该证书面向信息安全经理，侧重于信息安全程序的开发和维护。 个人必须至少有五年的 IS 经验和三年的安全经理工作才能获得此证书。
IT 审计目标
审计员必须确定审计目标，并确保它们在 IT 审计的准备阶段符合公司的总体目标。 通常，主要目标是以下之一：
- 评估旨在保护公司数据的系统和流程。
- 识别对信息资产的可能威胁并制定缓解策略。
- 验证信息的可靠性和完整性。
- 检查信息管理是否符合数据保护法律、政策和标准。
- 导致 IT 系统或管理效率低下。
IT 审计的类型
正如您所料，公司内外的不同机构或实体可能会启动各种类型的 IT 审计。 下一节将介绍最常见的类型。
#1。 技术创新过程审核
本次审计分析了组织在特定技术方面的经验的持续时间和深度，以生成单独的风险概况。 这可以应用于新的或当前的技术项目。 它还考虑了公司在相关市场的存在。
#2。 创新对比审核
此 IT 审计将组织的创新能力与其最大竞争对手的创新能力进行比较。 审计员审查公司在开发新产品方面的记录，以及它的开发和研究设施。
#3。 技术岗位审核
该审核仅检查组织现在使用的技术以及它们为更广泛的业务目标提供的价值。 这有助于决定是否需要新技术。 后者通常使用基本、关键、节奏和新兴等术语进行分类。
#4。 应用程序和系统
启动此审核是为了确保所有系统和应用程序都有效运行、可靠且受到适当控制。 还有帮助财务审计师的系统和流程保证审计。 SaaS 管理规则可能会简单地公开所有使用过的应用程序以进行软件审计，这有利于云计算基础设施。
#5。 信息处理设施
除了应用程序审核之外，还有对信息处理设施的审核。 这包括所有物理 IT 设备、操作系统和整个 IT 基础设施。 审计员确保加工设施及时准确地运行，即使在面临中断的情况下也是如此。
#6。 系统设计
随着更新和更好的解决方案的开发和实施，IT 基础架构也在不断变化。 在将系统部署到快节奏的云环境之前，公司必须确保正在开发的系统满足他们的目标并符合他们的业务需求。
#7。 IT 管理和企业架构
此审计的目的是确定 IT 管理层和员工是否建立了组织结构和健全的程序来保护和控制信息处理。 这包括对企业架构的检查以及用于最佳实践和框架的工具。
#8。 电信、内联网和外联网、客户端和服务器
正如标题所说，本次 IT 审计侧重于客户端和服务器端。 审计员确保所有电信控制功能正常且及时地用于接收服务的计算机。 这不仅包括服务器，还包括将客户端连接到服务器的网络。
IT 审计方法论
虽然 IT 审计本身通常需要几天时间，但当您查看日历并开始安排将来的审计时，该过程真正开始得更早。
步骤1。 计划审计。
第一个选择是进行内部审计还是支付外部审计员的费用来提供第三方对您的 IT 系统的看法。 外部审计在处理敏感信息的大型企业或企业中更为典型。
对于绝大多数企业而言，内部审计绰绰有余，而且计划成本要低得多。 如果您想格外谨慎，请设置年度内部审计并每隔几年聘请一名外部审计员。
在组织审核时，您必须决定以下内容：
- 谁将是您的审计员。 （您是否选择独立审计师或员工负责审计）？
- 您的审计将在何时进行？
- 必须制定什么程序来让您的人员做好审计准备？
审计员很可能需要会见几名员工和团队经理，以了解贵公司的 IT 工作流程，因此请确保不要在员工因其他任务负担过重时安排审计。
步骤#2：为审核做好准备。
确定一般时间段后，您需要与审计团队合作，为审计本身做准备。 此时需要考虑的一小部分事项包括：
- 您的审计目标
- 审计范围（正在评估哪些领域，以及审计员将在何种详细程度进行评估）
- 如何记录审核？
全面的审计时间表（哪些部门将在哪几天进行评估，以及部门应该为审计预算多少时间）
请记住，清单虽然是必要的，但不足以作为审核的文件。 运行此评估的目的是全面了解您的基础架构的缺陷以及解决这些缺陷的量身定制的实用策略。 为此，您需要一个比一张纸和一个剪贴板更复杂的系统。
第 3 步：执行审核
是的，进行审计只是审计流程五个步骤中的第三步。 这一步是不言自明的——如果你成功地执行了第二步，那么第三步就会执行你制定的计划。
请记住，即使是老鼠和人（或者，在这种情况下，鼠标和键盘）设计得最好的计划也经常出错，所以这个阶段可能还包括克服任何最后一刻的障碍。 确保你留有足够的时间，这样你就不会匆忙——在审计中遗漏任何东西都完全没有意义。
第 4 步：记录您的结果。
审核完成后，您应该有一个包含审核员笔记、结论和建议的大型文档文件。 接下来的步骤是将所有这些信息汇编成一份正式的审计报告。 这是您将存档以备将来参考并帮助计划下一年审计的文件。
然后，对于每个被审计的部门，您应该准备单独的报告。 总结检查的内容，列出不需要修改的项目，并突出显示该部门做得特别好的地方。 然后，提供审计员发现的漏洞的摘要，并将它们分类如下：
- 因不遵守既定程序而产生的风险将需要采取纠正措施。
- 在审计之前未被发现的漏洞所带来的风险将需要开发新的补救措施。
- 该部门工作中固有的风险不太可能完全消除，但审计师可能会发现减轻这些风险的措施。
解释下一步将采取什么措施来解决每个项目的已识别风险。 如果故意粗心大意造成了危险，您还应该咨询您的人力资源部门，以获取有关如何处理问题的建议。
步骤#5：保持联系
老实说：许多（如果不是大多数的话）基础设施漏洞都是人为错误的结果。 人为错误同样有可能破坏您的团队为解决审计风险而实施的解决方案。
提交报告结果后，安排与每个团队的后续会议，以检查是否已成功应用更正。 最好在一年中计划一些跟进，以与每个团队核对并确保一切顺利进行，直到您进行下一次审核。
在您的组织开始实施其新解决方案时设置自动 KPI 跟踪和报告，以便您可以衡量每个更改的影响。 当您在审核后的几个月内与您的团队一起检查时提取这些报告，以分析性能并解决任何未按计划执行的问题。
您还可以通过定期检查漏洞和监控系统性能来自动执行这些“签入”。 您可以将繁重的工作委托给您的技术人员，并且仅在收到警报时才进行干预，而不是让您的日程表因单独的签到会议而超载。
招聘 IT 审计师
如果您不想自己进行 IT 审计，建议您聘请 IT 审计员。 他们不仅有责任调查物理安全措施，而且有责任调查涉及完整信息技术系统的整体业务和财务控制。
当您聘请 IT 审计员时，他们必须确定五项以便准确收集相关信息：
- 商业和行业知识和信息
- 先前审计的审计结果
- 近期财务信息
- 监管立法
- 风险评估的结果
一旦 IT 审计师识别、记录、总结审计结果并将其提交给股东，他们将根据调查结果提出建议。 他们的职责包括处理公司道德、风险管理、业务程序和治理监控。
结论
随着越来越多地使用 SaaS 应用程序和基于云的系统，公司正在承担更大的安全风险并积累影子 IT。 如果 IT 审计有效地完成，它会产生知识和急需的可见性。
他们可能会向公司提供所需的信息和数据，以确保实施适当的控制并尽可能有效地降低风险。 因此，敏感数据不会受到黑客和其他安全威胁。
相关文章
- 财务审计：您所需要的一切，简化！！ （+详细的pdf）
- IT 审计员工资：平均工资（更新！）
- 审计管理系统：市场上的类型和最佳审计工具
- 财务审计：含义、薪水、报表、比较以及您需要的一切
- 审计员薪水：综合指南和清单
参考资料
