基于風(fēng)險的審計方法：審計階段
建立基于風(fēng)險的審計方法：包含六個階段的過程
每年在確定風(fēng)險和風(fēng)險排名、建立審計計劃之后，審計團(tuán)隊就可以“卷起袖子”，開始審計活動了。審計過程分成不同的階段，以風(fēng)險為基礎(chǔ)可分為六個階段，其中包括準(zhǔn)備、評估、風(fēng)險減輕、報告以及后續(xù)階段。每個階段現(xiàn)闡述如下：
準(zhǔn)備階段
準(zhǔn)備階段包括審計計劃開始之前的個人參與安排。在這個階段中，審計團(tuán)隊重新審視之前的工作文檔、風(fēng)險評估發(fā)現(xiàn)，并且確定個人參與的范圍和目標(biāo)。審計團(tuán)隊將聽取管理層以及操作人員的意見，然后跟他們的評估結(jié)果相比較。審計團(tuán)隊的工作重點是理解公司的業(yè)務(wù)目標(biāo)和功能，以便做出最明智的評估。
評估階段
評估階段包括分析系統(tǒng)和過程、確定漏洞并記錄顧慮。在這個階段中，審計人員可能會使用一個清單，但是主要依靠經(jīng)驗和判斷來解釋結(jié)果，并確定那些不太明顯的異常現(xiàn)象。在這個階段中，與操作人員協(xié)作來驗證風(fēng)險的嚴(yán)重性非常重要。某些“教科書”式的發(fā)現(xiàn)第一眼看起來似乎挺嚴(yán)重，但是卻有著存在的充分理由（比如某些應(yīng)用程序就需要特殊的操作要求）。因此，在把風(fēng)險寫進(jìn)最后報告造成不必要的混亂之前，驗證某些審計結(jié)果是否屬實非常重要。
根據(jù)被審計系統(tǒng)、網(wǎng)絡(luò)、或者過程的不同，必須要有些基礎(chǔ)控制，以便評估的時候可以作為參考標(biāo)準(zhǔn)。比如，SANS研究所就列出了一份具有優(yōu)先級的基礎(chǔ)安全控制和措施清單。這些控制是由SANS公司聯(lián)合美國聯(lián)邦機(jī)構(gòu)、民間滲透測試人員以及法律專家一起制定出來的，一些控制包括詳細(xì)記錄授權(quán)的以及未授權(quán)的設(shè)備、邊界防護(hù)、應(yīng)用程序安全、惡意軟件防護(hù)、數(shù)據(jù)丟失防護(hù)、賬戶控制、無線控制以及數(shù)據(jù)恢復(fù)能力等。除了審計需要參考的基礎(chǔ)控制以外，確保有到位的、能夠保證業(yè)務(wù)功能正常的控制也很重要。
風(fēng)險減輕階段
風(fēng)險減輕階段包括采用合適的控制，以減輕風(fēng)險。這個過程包括與公司溝通各種要求并建立風(fēng)險減輕計劃。有些控制的實施時間可能長達(dá)幾周或者幾個月，而有些則可以當(dāng)場調(diào)整。這個階段需要記錄下可能的控制，以及操作人員為減輕風(fēng)險而當(dāng)場采取的行動。
報告階段
在報告階段，審計團(tuán)隊給管理層提供一份全面的報告，概述其調(diào)查結(jié)果。審計團(tuán)隊將分享風(fēng)險減輕計劃（正在進(jìn)行的控制），并列出最重要的發(fā)現(xiàn)。這個階段需要建立一個執(zhí)行摘要，記錄各種關(guān)鍵信息，以便管理人員做安全決策。執(zhí)行摘要是高級別的概述，“簡潔明了”地解釋了企業(yè)的安全情況以及需要加強(qiáng)控制的后續(xù)步驟。
后續(xù)階段
在后續(xù)階段中，審計團(tuán)隊與公司進(jìn)行協(xié)作，確保公司實施各種控制。在資源有限的環(huán)境中，公司可能缺少實施某些控制機(jī)制的技能。因此，審計人員要提供各種控制的深入見解，繼續(xù)跟進(jìn)各種控制，以確保他們得到實施。對于審計團(tuán)隊來說，跟蹤過期的或者即將來臨的風(fēng)險減輕控制的實施過程很重要。審計團(tuán)隊?wèi)?yīng)該建立一套含有清晰易懂圖表的跟蹤系統(tǒng)，用來顯示各種控制的實施狀態(tài)以及它們的期限。
【編輯推薦】
