در عصر حاضر، سرعت معرفی تکنولوژی‌های جدید به قدری زیاد است که تدوین دستورالعمل‌های جداگانه برای هر یک غیرممکن می‌نماید. با این حال، مفاهیم پایه حسابرسی نظیر مدیریت حساب‌ها، احراز هویت (Authentication) و کنترل سطح دسترسی (Authorization) در تمامی این سیستم‌ها صادق است. برای ارزیابی دقیق هر فناوری نوین، نیاز به یک چارچوب ساختاریافته داریم که بتوان ظرایف هر سیستم را در آن جای‌گذاری کرد.

رویکردهای نوین در ارزیابی ریسک و شناسایی شکاف‌های کنترلی

استفاده از چارچوب‌های تعمیم‌یافته به حسابرسان اجازه می‌دهد حتی بدون آمادگی قبلی، سوالات کلیدی و ریسک‌های احتمالی یک پروژه را استخراج کنند.

چارچوب PPTM در سطح کلان

این مدل برای طوفان فکری پیرامون سیستم از چهار جنبه اصلی استفاده می‌کند:

• افراد (People): بررسی تعامل انسان با سیستم، حضور ذینفعان صحیح و مدیریت فرآیندهای تخصیص و لغو دسترسی.

• فرآیندها (Processes): ارزیابی سیاست‌ها، رویه‌های عملیاتی، انطباق با مدل‌های امنیتی و تعامل با سیستم‌های رابط.

• ابزارها (Tools): تمرکز بر سخت‌افزار، زیرساخت و اطمینان از متناسب بودن فناوری با رویه‌های مدنظر.

• معیارها (Measures): اندازه‌گیری عملکرد اپلیکیشن، اهداف تجاری و اطمینان از معنادار بودن لاگ‌ها.

مدل STRIDE برای شناسایی تهدیدات

این مدل یک روش‌شناسی کاربردی برای شناسایی تهدیدات شناخته شده است که شامل موارد زیر می‌شود:

• جعل هویت (Spoofing Identity).

• دست‌کاری داده‌ها (Tampering with Data).

• انکار فعالیت‌ها (Repudiation).

• افشای اطلاعات (Information Disclosure).

• محروم‌سازی از سرویس (Denial of Service).

• ارتقای سطح دسترسی (Elevation of Privilege).

اصول استراتژیک در مهندسی امنیت و پایداری سیستم‌ها

در طراحی و حسابرسی سیستم‌های نفوذناپذیر، رعایت اصول زیر به عنوان ستون‌های اصلی امنیت شناخته می‌شود:

• مدل امنیتی مثبت (Whitelist): در این رویکرد، تنها به موارد شناخته شده اجازه فعالیت داده شده و سایر موارد به صورت پیش‌فرض مسدود می‌شوند که به شدت سطح حملات را کاهش می‌دهد.

• شکست امن (Fail-Safe): سیستم در صورت بروز خطا نباید وضعیتی پیدا کند که امنیت را به خطر بیندازد یا جزئیات فنی نظیر مسیرهای فایل را برای کاربران افشا کند.

• اصل کمترین سطح دسترسی (Least Privilege): هر حساب کاربری یا پردازه باید تنها به منابعی دسترسی داشته باشد که برای انجام وظیفه مشخص خود به آن‌ها نیاز دارد.

• پرهیز از امنیت مبتنی بر پنهان‌کاری: مخدوش‌سازی داده‌ها به جای رمزنگاری، یک مکانیسم بسیار ضعیف است و نباید به آن به عنوان تنها لایه دفاعی تکیه کرد.

چک‌لیست عملیاتی و گام‌های اجرایی در فرآیند حسابرسی IT

برای اجرای یک حسابرسی اثربخش در حوزه فناوری‌های نوین، گام‌های زیر توصیه می‌شود:

1. تحقیق و کسب اطلاعات پایه: مطالعه مستندات فنی، درک هدف تجاری فناوری و شناسایی نقاط کنترلی کلیدی نظیر پارامترهای پیکربندی.

2. مدیریت حساب‌های کاربری: اطمینان از ایجاد حساب‌ها بر اساس نیاز تجاری مشروع، قابلیت ردیابی هر حساب به یک کارمند مشخص و حذف به موقع دسترسی‌ها پس از قطع همکاری.

3. ارزیابی احراز هویت: بررسی تنظیمات پیچیدگی گذرواژه، طول عمر آن و اطمینان از تغییر گذرواژه‌های پیش‌فرض در حساب‌های مدیریتی.

4. امنیت شبکه و مدیریت وصله‌ها (Patching): شناسایی سرویس‌های فعال شبکه، غیرفعال‌سازی موارد غیرضروری و ارزیابی فرآیند نصب به‌روزرسانی‌های امنیتی برای رفع حفره‌های شناخته شده.

5. پایش و ثبت وقایع: اطمینان از فعال بودن لاگ‌های حسابرسی (Audit Logs) و محافظت از آن‌ها مطابق با سیاست‌های سازمان جهت عیب‌یابی و پیگیری حوادث امنیتی.

با ترکیب لایه‌های امنیتی و استفاده از استانداردهای باز، می‌توان سازگاری بین سیستم‌ها را همزمان با رشد سازمان تضمین کرد. لایه‌بندی امنیتی یا دفاع در عمق، ریسک نفوذ به سیستم را به میزان قابل توجهی کاهش می‌دهد.

دانلود راهنمای جامع و چک لیست حسابرسی در فناوری‌های نوین