چارچوب کنترلهای عمومی فناوری اطلاعات
حسابرسی سیستمهای اطلاعاتی بر پایه کنترلهای عمومی فناوری اطلاعات (IT General Controls – ITGC) استوار است که در استاندارد بینالمللی حسابرسی (ISA) 315 تعریف شدهاند. این کنترلها به سه حوزه اصلی تقسیم میشوند:
مدیریت دسترسی (Access Management): یکی از مهمترین بخشهای حسابرسی، اطمینان از این است که تنها افراد مجاز به اطلاعات دسترسی دارند. کنترلهای کلیدی در این حوزه عبارتند از: احراز هویت (برای جلوگیری از ورود با اعتبار دیگران)، تفکیک وظایف (اختصاص دسترسی متناسب با نقش)، و مرور مستمر دسترسی کاربران برای اطمینان از بهروز بودن مجوزها.
مدیریت تغییرات (Change Management): هرگونه تغییر در نرمافزارها یا سختافزارها میتواند آسیبپذیریهای جدیدی ایجاد کند. کنترلهای تغییرات، فرایندهای انتقال دادهها را در زمان ارتقاء سیستمها تحت نظر دارند تا از بروز اختلال در گزارشگری مالی جلوگیری شود.
مدیریت عملیات فناوری اطلاعات (IT Operations): شامل کنترلهایی مانند سیستمهای تشخیص نفوذ (IDS) است که بهطور مداوم محیط را برای یافتن نشانههای حملات سایبری یا نفوذ پایش میکنند.
تکامل کنترلها در فضای ابری و محیطهای مدرن
با گسترش برونسپاری سیستمها و استفاده از رایانش ابری، محیطهای فناوری اطلاعات بهشدت متحول شدهاند. حسابرسان امروزی به این نتیجه رسیدهاند که کنترلهای سنتی دیگر بهتنهایی کافی نیستند. کنترلهای جدید که باید در فرایند حسابرسی لحاظ شوند، عبارتند از:
-
تست نفوذ (Penetration Testing): شبیهسازی حملات سایبری برای یافتن نقاط ضعف قبل از سوءاستفاده مهاجمان.
-
پایش امنیت و هشدارهای بلادرنگ: نظارت بر ناهنجاریها و اعلان سریع رویدادهای امنیتی.
-
رمزنگاری و مدیریت کلید: اطمینان از رمزنگاری دادهها چه در حالت ذخیرهسازی (در هارد) و چه در حالت انتقال (در شبکه).
-
پیشگیری از نشت داده (DLP): جلوگیری از انتقال غیرمجاز اطلاعات حساس به خارج از سازمان.
ارزیابی ریسک و اولویتبندی حسابرسی
منابع حسابرسی محدود است. به همین دلیل، حسابرسان با استفاده از مدلهای سهگانه امنیت اطلاعات (محرمانگی، یکپارچگی، در دسترس بودن) و با همکاری با صاحبان کسبوکار، برنامههای کاربردی حیاتی را اولویتبندی میکنند. برنامههایی که بیشترین تأثیر را بر اهداف کسبوکار در صورت افشا یا تخریب اطلاعات دارند، در اولویت اول حسابرسی عمیق قرار میگیرند. ارزیابی خودکنترلی (Control Self-Assessment) نیز ابزاری کلیدی است که در آن واحدهای کسبوکار، سطح تطابق خود با استانداردهای امنیتی را ارزیابی کرده و حسابرسان بر روی شکافهای باقیمانده متمرکز میشوند.
محافظت از سیستمها در حین تست و حسابرسی
یک چالش جدی در فرایند حسابرسی، محافظت از سیستمهای عملیاتی در حین انجام تستهای امنیتی است. کنترل A.8.34 از استاندارد ISO 27001:2022 به صراحت بر این موضوع تأکید دارد. برای جلوگیری از مختل شدن سرویسهای حیاتی، حسابرسان باید:
-
دامنه آزمون را دقیقاً تعریف کرده و آن را در ساعات کمبار انجام دهند.
-
از مجوزهای صریح و محدود به زمان برای دسترسی ممتاز به سیستمها استفاده کنند.
-
کلیه اقدامات را ثبت و پایش کرده و در صورت بروز مشکل، امکان بازگشت به حالت قبلی (Rollback) را پیشبینی نمایند.
جمعبندی
حسابرسی سیستمهای اطلاعاتی، سنگ بنای اعتماد دیجیتال در عصر کنونی است. حسابرسان با ارزیابی کنترلهای عمومی فناوری اطلاعات، مدیریت دسترسی و تغییرات، و پایش مستمر محیط، به سازمانها کمک میکنند تا از دادههای خود در برابر تهدیدات داخلی و خارجی محافظت کنند. با تحول محیطهای فناوری و روی آوردن سازمانها به فضای ابری، کنترلهای سنتی باید با رویکردهای نوینی مانند تست نفوذ، پیشگیری از نشت داده و پایش پیشرفته تکمیل شوند. در نهایت، یک برنامه حسابرسی منظم و مبتنی بر ریسک، نه تنها از بروز بحرانهای مالی و اعتباری جلوگیری میکند، بلکه استراتژی امنیت دادهها را از یک واکنش دفاعی به یک مزیت رقابتی پایدار تبدیل میسازد.
