実装後レビューを実施するのに最適なタイミングは、完全な処理サイクルが終わった後です。実装後レビューは、実装されたシステムが当初の要件を満たし、意図したとおりに動作していることを確認するために実施されます。したがって、エラーや問題を特定して対処できるように、システムが完全な処理サイクルを経るまで待つことが重要です。これにより、組織はシステムを本番環境に導入する前に、システムが安定していて信頼できることを確認できます。

データセンターの脅威評価を確認する情報システム監査人は、特定された脅威がすべて外部のエンティティに関連している場合に最も懸念するでしょう。これは、従業員、請負業者、ベンダー、許可された訪問者などの内部ソースからの潜在的な脅威が無視されているため、脅威評価が不完全で偏っていることを示しています。内部の脅威は、機密情報、システム、または施設にアクセスし、悪意のある目的や詐欺目的で権限を悪用する可能性があるため、データセンターに重大なリスクをもたらす可能性があります。IBMの調査によると、2015年のサイバー攻撃の60％は内部者によって実行されました1 特定された脅威の一部が発生する可能性が低いことは、脅威評価が包括的かつ現実的であり、発生確率に関係なく考えられるすべてのシナリオを考慮していることを示しているため、懸念する必要はありません。脅威評価では、主観的な判断や仮定に基づいて潜在的な脅威を除外してはなりません。脅威が実現した場合、依然として大きな影響を与える可能性があるためです。
この演習が現地の管理者によって完了したことは、データ センターの運用、環境、およびリスクを最もよく理解している人々によって脅威評価が実施されていることを示しているため、懸念する必要はありません。現地の管理者は、外部の関係者よりも関連性が高く正確な情報と洞察力を持っている可能性があり、脅威評価の結果にさらに力を入れている可能性があります。
近隣組織の業務が含まれていることは、脅威評価が全体的かつ状況に応じたものであり、データセンターのセキュリティに対する外部要因の相互依存性と影響を考慮していることを示しているため、懸念する必要はありません。近隣組織の業務は、物理的な損傷、ネットワーク干渉、共有された脆弱性など、データセンターに直接的または間接的な脅威をもたらす可能性があります。
参考文献:
* IBM セキュリティ サービス 2016 サイバー セキュリティ インテリジェンス インデックス 1

セクション: 情報システムの運用、保守、サポート

説明
ハード ドライブを定期的にスキャンすることは、従業員による不正なソフトウェア パッケージのインストールを検出する最も効果的な方法です。組織によって承認されていないソフトウェアを特定できるため、セキュリティ リスクを引き起こしたり、ソフトウェア ポリシーに違反したりするおそれがあります。ポリシーを従業員に伝えることは重要ですが、不正なソフトウェアのインストールを防止または検出できない場合があります。ネットワーク上のアクティビティをログに記録すると、ネットワーク トラフィックを監視できますが、すべてのソフトウェア インストール イベントをキャプチャできない場合があります。最新のウイルス対策ソフトウェアを維持すると、システムを悪意のあるソフトウェアから保護できますが、すべての不正なソフトウェア パッケージを検出できない場合があります。
参考文献:
ISACA、CISA レビューマニュアル、第 27 版、2020 年、p. 2381
ISACA、CISA レビュー問題、解答、解説データベース - 12 か月サブスクリプション

説明
次に、監査人は監査権条項が存在するかどうかを確認する必要があります (B)。これは、監査人に SaaS プロバイダーの記録、システム、プロセスにアクセスして調査する権利を与える契約条項であるためです。監査権条項は、SaaS プロバイダーの透明性、説明責任、および顧客の要件と期待への準拠を確保するために重要です。監査権条項は、監査人が SaaS 契約に関連するリスクや問題を特定して軽減するのにも役立ちます12。
IT 管理が環境の有効性を監視しているかどうかを確認すること (A) は、継続的な監視および評価プロセスの一部であり、初期のウォークスルー手順ではないため、次のステップではありません。
監査人は、SaaS プロバイダーのパフォーマンスと制御を評価する前に、まず監査の範囲、目的、基準を確立する必要があります。
サードパーティのセキュリティ認証が存在するかどうかを確認することは、SaaS 契約の必須要件ではないため、次のステップではありません。サードパーティのセキュリティ認証は、SaaS プロバイダーのセキュリティ管理と実践を評価および検証する独立した監査人が発行するレポートまたは証明書です。サードパーティのセキュリティ認証は、顧客に保証と信頼を提供できますが、監査権条項3 の必要性を置き換えたり排除したりするものではありません。
サービス レベル契約 (SLA) が定義され、監視されているかどうかを確認する (D) ことは、監査プロセスに直接関係しないため、次のステップではありません。SLA は、SaaS プロバイダーの品質、可用性、パフォーマンス基準を規定する契約です。SLA は、サービス提供と顧客満足度を測定および管理するために重要ですが、監査の権利を付与または保証するものではありません4。