セクション: 情報システムの監査プロセス

組織の情報セキュリティ管理をレビューする際の最も重要な発見は、脅威と脆弱性を特定するための定期的な評価がないことです。定期的な評価は、組織の情報セキュリティ ポリシー、手順、標準、および制御が、情報資産に影響を及ぼす可能性のある現在および新たなリスクと脅威と整合していることを確認するために不可欠です。定期的な評価がないと、組織は実際のセキュリティ体制、ギャップ、または弱点に気付かず、潜在的なセキュリティ インシデントを軽減または防止するための適切な対策を講じることができない可能性があります。専任のセキュリティ担当者がいない、情報セキュリティ管理システムの公式憲章がない、従業員の意識向上トレーニングおよび教育プログラムがないなどの発見も、組織の情報セキュリティ管理に何らかの欠陥があることを示している可能性がありますが、脅威と脆弱性を特定するための定期的な評価がないという発見ほど重大ではありません。参考文献: ISACA CISA レビュー マニュアル第 27 版、343 ページ。

セクション: ITのガバナンスと管理

情報システム監査人は、まずビジネス影響分析 (BIA) が組織の構造と状況に合っているかどうかを判断する必要があります。BIA は BCP の重要な構成要素であり、組織の現状を反映する必要があります。BIA が最新でない場合、生産工場の閉鎖など、組織の業務の中断の影響を正確に反映しない可能性があります12。
参考資料: ISACA の情報システム監査人学習資料1