説明/参照:
Explanation:
生体認証とは、認証を目的として人間の身体的特徴や行動的特徴を測定、分析する技術を指します。
身体的特徴には、指紋、目の網膜と虹彩、顔のパターン、手の測定値が含まれ、行動特徴には、署名、歩行、およびタイピングのパターンが含まれます。声は多くの場合、身体的特徴と行動的特徴の両方が組み合わさったものとして考えられます。

成功するリスクベースの IT 監査プログラムは、効果的なスコアリング システムに基づいている可能性があります。スコアリング システムを確立する際、経営者は関連するすべてのリスク要因を考慮し、主観を避ける必要があります。監査人は、リスク評価ツールとリスク要因の使用に関する書面によるガイドラインを作成し、監査委員会とともにこれらのガイドラインを検討する必要があります。

継続的な監視システムを導入する場合、情報情報監査人の最初のステップは、組織内のリスクの高い領域を特定することです。

説明
データセンターの脅威評価を審査する情報システム監査人は、その審査が現地の管理者によって完了されるかどうかを最も懸念します。これは、評価プロセスにバイアス、利益相反、または専門知識の欠如が生じる可能性があるためです。脅威評価は、データセンターとその資産の可用性、完全性、機密性に影響を与える可能性のある潜在的な脅威を特定して評価する体系的な方法です。脅威評価は、データセンターの環境、脆弱性、リスクの包括的かつ客観的な分析を実行するために必要なスキル、知識、経験を備えた独立した資格のあるチームによって実施される必要があります1。
データセンターの脅威評価を検討する情報システム監査人にとって、他のオプションはオプション C ほど重要ではありません。オプション A では、特定された脅威の一部は発生する可能性が低いですが、各脅威の可能性と影響が適切に推定され、優先順位が付けられている限り、問題はありません。脅威の評価では、発生の可能性が低い場合でも、考えられるすべてのシナリオを考慮して、データセンターがあらゆる不測の事態に備えられるようにする必要があります2。オプション B (特定されたすべての脅威は外部エンティティに関連しています) は、人的エラー、悪意のある内部関係者、または機器の故障などの内部脅威も評価で考慮する限り、欠陥ではありません。外部の脅威は多くの場合、内部の脅威よりも目に見えて深刻ですが、データセンターの唯一のリスク源ではありません3。オプション D (近隣組織の運用が含まれている) は、評価がデータセンター自体の運用にも焦点を当てている限り、間違いではありません。隣接する組織の運営は、特に物理インフラストラクチャやネットワーク インフラストラクチャやリソースを共有している場合、データ センターのセキュリティと可用性に影響を与える可能性があります。脅威の評価では、データセンターとその外部環境の間の相互依存性と相互作用を考慮する必要があります4。
参考文献:
ISACA、CISA レビューマニュアル、第 27 版、2019 年
ISACA、CISA レビューの質問、回答、説明データベース - 12 か月のサブスクリプション データセンターの脅威と脆弱性 1 データセンターの脅威、脆弱性、およびリスク評価 2 データセンターのリスク評価 3