説明
IS 監査人が最も懸念すべき発見は、データ モデルが明確に文書化されていないことです。
データ モデルは、アプリケーションで使用されるデータの構造、関係、制約を表現します。これは、データの正確性、一貫性、品質を保証するのに役立つため、ソフトウェア開発プロセスの重要なコンポーネントです1。データ モデルの明確で包括的なドキュメントは、データとアプリケーション ロジックの理解、変更、トラブルシューティングを容易にするため、アプリケーションの保守とサポートに不可欠です2。
組織がアプリケーションのサポートと将来のメンテナンスを社内に戻すことを計画している場合、ベンダーからのデータ モデル ドキュメントにアクセスする必要があります。これがないと、組織はベンダーから社内チームに知識とスキルを移転したり、変化するビジネス ニーズと要件に合わせてアプリケーションを調整および強化したりすることが困難になる可能性があります3。データ モデル ドキュメントがないと、データとアプリケーションのパフォーマンスにエラー、不整合、非効率が生じるリスクも高まります2。
その他の調査結果は、データ モデルのドキュメントの欠如ほど懸念されるものではありません。アプリケーションの品質と保守性に直接影響しないためです。アウトソーシングのコストが社内開発よりも低いことは、アウトソーシングが組織の時間と費用の節約に役立ったことを意味するため、組織にとってリスクではなくメリットです4。ベンダーの開発チームが海外にあることは、アウトソーシングでは一般的な慣行であり、必ずしもアプリケーションの品質が低下したりリスクが高くなったりするわけではありません。ただし、コミュニケーション、調整、文化の違いの点でいくつかの課題が生じる可能性がありますが、明確な期待、役割、責任を確立し、コミュニケーションとコラボレーションに効果的なツールと方法を使用することで管理できます5。ビジネス ユーザー向けのトレーニング プランが開発されていないことは、アプリケーションを展開する前に組織が対処する必要があるギャップです。アプリケーションのユーザー受け入れと満足度に影響を与える可能性があります。ただし、アプリケーション自体の品質や保守性に直接影響することはありません。参考文献:
データモデリングとは? 定義と種類 | Informatica1
データ モデリングのベスト プラクティス: ドキュメント | erwin2
データ モデル ドキュメント - 概要 | ScienceDirect Topics3
アプリ開発のアウトソーシングの長所と短所 - Droids On Roids4
ソフトウェア開発アウトソーシングの 8 つのリスクとその解決策 - Acropolium5 ソフトウェア トレーニング プラン: ビジネスに合わせたプランの作成方法 - Elinext

セクション: 情報資産の保護
Explanation:
ipchains は、以前の Linux で動作するフリー ソフトウェア ベースのファイアウォールです。ipfwadm を書き直したものですが、Linux 2.4 以降では iptables に置き換えられています。
Iptables は、Linux カーネル内のパケット フィルタリングと NAT コンポーネントを制御します。これは、ネットワーク パケットを傍受および操作するための一連のフックを Linux カーネル内に提供するフレームワークである Netfilter に基づいています。

セクション: 情報資産の保護
Explanation:
検出リスクは、情報システム監査人が不適切なテスト手順を使用し、重要な情報が漏洩したと結論付けた場合に発生します。
実際にエラーが存在する場合、エラーは存在しません。

組織内のエンド ユーザー コンピューティング (EUC) に関連するリスクを評価する情報システム監査人が最も懸念すべき発見は、EUC アプリケーションの定義済み基準がないことです。EUC アプリケーションは、IT プロフェッショナルではなくエンド ユーザーによって開発および保守され、ビジネス機能とプロセスをサポートするアプリケーションです。EUC アプリケーションの例としては、スプレッドシート、データベース、レポート、スクリプトなどがあります。EUC アプリケーションの定義済み基準がないということは、組織が EUC アプリケーションを識別、分類、管理するための明確で一貫した標準やガイドラインを持っていないことを意味します。これは、次のようなさまざまなリスクにつながる可能性があります。
* 検証、検証、テストされていない EUC アプリケーションからの不正確または信頼できないデータと結果
* 保護、制御、監視されていない EUC アプリケーションへの不正または不適切なアクセスまたは使用
* 統合、文書化、更新されていない EUC アプリケーションからの一貫性のない、または互換性のないデータと結果
* バックアップ、回復、またはアーカイブされていない EUC アプリケーションからのデータと結果の損失または破損。したがって、EUC アプリケーションとそれらが生成するデータの品質、整合性、および可用性に影響を与える可能性があるため、IS 監査人は EUC アプリケーションの定義された基準の欠如について最も懸念する必要があります。
各 EUC アプリケーションの所有権を追跡するプロセスが不十分であることは、組織内の EUC に関連するリスクを評価する情報システム監査人にとって懸念すべき発見事項ですが、最大の懸念事項ではありません。EUC アプリケーションの所有権とは、EUC アプリケーションの作成、維持、および使用を担当する個人またはグループを指します。各 EUC アプリケーションの所有権を追跡するプロセスが不十分であるということは、組織に各 EUC アプリケーションの所有者を識別して伝達するための適切なメカニズムまたは記録がないことを意味します。これは、次のようなリスクにつながる可能性があります。
* EUCアプリケーションとそのデータの品質と正確性に対する説明責任または所有権の欠如
* 所有者が退職したり役割が変わったりした場合、EUC アプリケーションのサポートやメンテナンスが不足する
* EUC アプリケーションの目的と機能に関するユーザーの認識やトレーニングが不足している。ただし、これらのリスクは、EUC アプリケーションの基準が定義されていないことによって引き起こされるリスクほど深刻ではありません。
バージョン管理をテストするためのプロセスが不十分であることは、組織内の EUC に関連するリスクを評価する情報システム監査人にとって懸念すべき発見事項ですが、最大の懸念事項ではありません。バージョン管理は、EUC アプリケーションに加えられた変更を時間の経過とともに追跡および管理するプロセスです。バージョン管理をテストするためのプロセスが不十分であるということは、組織が EUC アプリケーションに加えられた変更が承認され、文書化され、テストされていることを保証するための適切な手順またはツールを備えていないことを意味します。これは、次のようなリスクにつながる可能性があります。
* EUCアプリケーションの異なるバージョンからのデータと結果のエラーまたは不一致
* EUCアプリケーションのユーザー間で、どのバージョンが最新または正しいかに関する矛盾または混乱が生じる
* EUC アプリケーションの以前のバージョンのデータと結果の損失または上書き ただし、これらのリスクは、EUC アプリケーションの基準が定義されていないことによって引き起こされるリスクよりも深刻ではありません。
EUC ユーザーに対する意識向上トレーニングの欠如は、組織内の EUC に関連するリスクを評価する情報システム監査人にとって懸念すべき発見事項ですが、最大の懸念事項ではありません。EUC ユーザーに対する意識向上トレーニングは、EUC アプリケーションのユーザーの役割、責任、およびリスクについて教育し、通知するプロセスです。EUC ユーザーに対する意識向上トレーニングの欠如は、組織に、EUC アプリケーションを効果的かつ安全に使用および管理する方法に関するユーザーの知識とスキルを高めるための適切なプログラムまたは資料がないことを意味します。これは、次のようなリスクにつながる可能性があります。
* EUCアプリケーションの影響や意味を認識していないユーザーによるEUCアプリケーションの誤用または乱用
* 要件や期待を認識していないユーザーによるポリシーや規制の不遵守または違反
* 利点や制限を認識していないユーザーの不満やフラストレーション。ただし、これらのリスクは、EUC アプリケーションの基準が定義されていないことによって引き起こされるリスクほど深刻ではありません。
参考文献:
* エンドユーザーコンピューティング - Wikipedia 1
* エンドユーザーコンピューティングに関連するリスクを管理する方法 2
* エンドユーザーコンピューティングのリスク管理 - KPMG UK 3