説明
組織内の情報セキュリティ ガバナンスを評価する際に、情報システム監査人が最も懸念すべき発見は、データ センター マネージャーがセキュリティ プロジェクトの最終承認権を持っていることです。これは、職務の分離が不十分であり、運用とセキュリティの役割の間に潜在的な利益相反があることを示しています。データ センター マネージャーは、セキュリティ制御によって保護されるべき機密情報やシステムにアクセスできる可能性があり、組織にとって最善ではないセキュリティの決定に影響を与えたり、それを無効にしたりする可能性があります。
この調査結果は、上級管理職や取締役会などの上位レベルでは、情報セキュリティ ガバナンスに対する明確な説明責任や権限がないことも示唆しています。その他の調査結果は、改善や監視が必要な領域があることを示唆しているかもしれませんが、この調査結果ほど懸念されるものではありません。参考文献:
ISACA、CISA レビューマニュアル、第 27 版、第 5 章、セクション 5.11
ISACA、COBIT と Val IT を使用した IT ガバナンス: 学生用小冊子 - 第 2 版4

説明/参照:
Explanation:
侵入テストに同意する前に、システム所有者は提案されたすべての項目を検討する必要がありますが、最も重要なタスクは、すべてのシステムを元の状態に復元できるようにすることです。テスト対象のシステムで作成および/または保存された情報は、これらのシステムから削除する必要があります。侵入テストの終了時に何らかの理由でこれが不可能な場合は、レポートを受け取った後、クライアントの技術スタッフがこれらのファイルを削除できるように、すべてのファイル (およびその場所) を技術レポートで特定する必要があります。