主要システムの容量管理がビジネス部門からの入力なしに IT 部門によって実行されている場合、監査人の主な懸念は、ビジネスの容量ニーズが予期せず増加することです。IT 部門がビジネス需要を満たすのに十分な容量を提供できない場合、パフォーマンスの低下、サービスの中断、または顧客の不満につながる可能性があります。機器の使用を最大限に活用できないこと、データ センターのストレージ容量が過剰になることによるコスト、または将来のビジネス プロジェクトの資金への影響は、リソースの最適化や予算の割り当てに関連する二次的な懸念であり、サービス提供や顧客満足度には関係ありません。参考文献: ISACA、CISA レビュー マニュアル、第 27 版、2018 年、374 ページ

ライブ システムにアクセスする必要があるオンコール プログラマーから真夜中に呼び出されたセキュリティ管理者にとっての最善の行動は、一時的なアクセスのための緊急 ID をプログラマーに提供し、アクティビティを確認することです。その理由は次のとおりです。
* 変更要求を完了して承認することを要求すると、問題の解決が遅れ、システムまたは業務運営にさらなる損害や混乱が生じる可能性があります。変更要求は、提案された変更、その根拠、影響、利点、リスク、コスト、および承認プロセスを説明する正式な文書です。変更要求は通常、計画またはスケジュールされた変更に対して必要であり、緊急または緊急の変更には必要ではありません。
* 問題を調査するためにプログラマーに読み取り専用アクセス権を与えるだけでは不十分であったり、効果的でない場合があります。プログラマーは書き込み権限または実行権限を必要とするアクションやテストを実行する必要がある可能性があるためです。
読み取り専用アクセスとは、ユーザーはデータやファイルを表示またはコピーすることはできますが、変更したり削除したりできないことを意味します。
* 翌日にアクティビティ ログを確認し、疑わしいアクティビティを調査しても、プログラマーによる不正なアクションや悪意のあるアクションをリアルタイムで防止または検出できない可能性があります。アクティビティ ログは、システムまたはネットワーク内で発生するイベントとアクションの記録です。アクティビティ ログは、システム アクティビティの証拠と説明責任を提供できますが、プロアクティブまたは予防的な制御ではありません。
したがって、プログラマーに一時的なアクセスのための緊急 ID を与え、そのアクティビティを確認することが最善の策です。これにより、プログラマーはライブ システムにアクセスして問題を迅速に解決できると同時に、セキュリティ管理者がプログラマーのアクティビティを監視および検証し、不要になったときにアクセスを取り消すことができるようになります。緊急 ID は、特定の目的と期間にわたってユーザーにシステムまたはリソースへの高度な権限またはアクセスを許可する一時的なアカウントです。緊急 ID は、次の条件を満たす必要があります。
* セキュリティ管理者またはマネージャーによって作成および承認されます
* 特定のユーザーと目的に割り当てられます
* 範囲と時間が限られている
* 記録および監査済み
* 使用後は取り消され削除されます
稼働中のシステムへの緊急アクセスに関するベストプラクティスは次のとおりです12:
* 緊急アクセスの要求、承認、付与、監視、レビュー、取り消しに関する明確なポリシーと手順を確立する
* 緊急アクセスの基準とシナリオ（重大度、影響、緊急性、リスクなど）を定義する
* 多要素認証、承認ワークフロー、アラート、通知、時間制限など、緊急アクセスの不正使用や不必要な使用を防ぐための制御を実装します。
* ログ記録、レポート、分析、調査などの緊急アクセス活動を追跡および監査するための制御を実装します。
* 証明、正当化、文書化、フィードバックなど、緊急アクセスユーザーの説明責任と責任を確保するための制御を実装します。

セクション: 情報資産の保護
Explanation:
事後検証では、事故の原因と対応の両方を検証します。
レビューは内部統制の改善に活用できます。事後レビューの目的と構造を理解する
レビューとフォローアップの手順により、情報セキュリティ管理者は継続的に改善することができます。
セキュリティプログラム。インシデントレビューに基づいてインシデント対応計画を改善することは、内部の
（修正）制御。ネットワークはすでに業界のベストプラクティスに従って強化されている可能性があります。さらに、
ネットワークがインシデントの原因ではない可能性があります。主な目的は内部統制を改善することです
手順は、インシデント対応管理（IRM）の重要性を強調するものではなく、インシデント対応管理（IRM）の重要性を強調するものではありません。
対応（IR）レビューでは従業員の意識は向上しません。

IT に重大な影響を与える買収の場合、監査ポリシーで定義されているように、デューデリジェンス段階の早い段階で IS 監査の参加が必要になることがよくあります。