セクション: 情報システムの運用、保守、サポート

セクション: 情報資産の保護
Explanation:
監査方針には、内部監査が監査にどのように関与するかを詳細に規定したガイドラインを含める必要がある。
主要なアプリケーションの開発、取得、変換、テスト。このようなポリシーは、
効果を上げるにはトップマネジメントの協力が必要です。

組織のインシデント対応プログラムの有効性を示す最良の指標は、セキュリティ イベントごとの財務的影響です。この指標は、収益の損失、評判の失墜、訴訟費用、復旧費用、罰金など、セキュリティ インシデントに関連する直接的および間接的なコストを測定します。セキュリティ イベントごとの財務的影響を軽減することで、組織はインシデント対応プログラムがセキュリティ侵害の影響を軽減し、通常の業務をできるだけ早く回復するのに効果的であることを実証できます。
成功した侵入テストの数、保護されたビジネス アプリケーションの割合、セキュリティ脆弱性パッチの数は、組織のセキュリティ体制の指標ですが、インシデント対応プログラムの有効性を反映するものではありません。参考文献: ISACA ジャーナル記事: インシデント対応の有効性の測定

組織の災害復旧計画 (DRP) をレビューする情報システム監査人にとって最大の懸念は、IT インフラストラクチャのアップグレード以降に DRP が更新されていないことです。DRP が IT システムの現在の構成、依存関係、または復旧要件を反映していない可能性があるため、DRP が時代遅れになったり、効果がなくなったりする可能性があります。情報システム監査人は、IT 環境の変更に合わせて DRP を定期的にレビューおよび更新する必要があります。DRP が上級管理職によって正式に承認されていないことは、組織の DRP をレビューする情報システム監査人にとっての懸念事項ですが、DRP が最新かつ有効であることを確認することほど重要ではありません。DRP がエンド ユーザーに配布されていない、または DRP に重要なサーバーの復旧手順のみが含まれていることは、DRP の伝達または範囲に関連する問題であり、その妥当性や有効性には関係ありません。参考文献: ISACA、CISA レビュー マニュアル、第 27 版、2018 年、389 ページ