二重盲検テストでは、管理者とセキュリティ スタッフはテストを認識しませんが、テストの結果は組織のインシデント処理および対応能力の評価になります。ターゲット テスト、外部テスト、および内部テストでは、システム管理者とセキュリティ スタッフはテストの開始前に通知されるため、テストを認識しています。

セクション: 情報資産の保護

説明
欠陥を修正するためのソリューションの実装は、品質保証 (QA) 機能ではなく、開発機能の責任です。QA 機能は、開発プロセスが確立された標準と方法論に従っていること、および欠陥が特定され報告されていることを確認する必要があります。QA 機能は、独立性と客観性を損なうため、欠陥の修正に関与すべきではありません。その他のオプションは、QA 機能の正当な責任であり、IS 監査人の懸念事項にはなりません。参考資料:
CISA レビューマニュアル (デジタル版) 1、300 ページ。