近來資安事件頻傳，甚至有銀行遭駭客盜走6,000萬美元（約新台幣18億元），顯見稽核工作應該更落實。傳統的查核方法已經過時,如何善用電腦稽核輔助工具，加強查核技巧?
整理ACL部落格業界先進發表文章,供大家一起學習:
參考資料來源:ACL BLOG/2017年10月26日/John Verver
IT風險範圍
很明顯，IT風險，特別是涉及網絡安全漏洞的IT風險，是當今組織面臨的最大風險問題之一。只要看看黑客設法獲得數以百萬計的客戶機密數據記錄之後就會出現的後果 - 股價下跌，品牌名稱被玷污，客戶在其他地方開展業務，CIO們被解僱。
信息技術，安全和風險管理的領導者不可避免地對網絡安全的巨大風險予以高度關注，並相應地分配資源。許多IT風險和合規領導者面臨的挑戰是如何處理其他事情。處理影響IT的常規監管要求和合規性問題的最佳方式是什麼？您如何確保您的組織符合框架，標準和規則（如COSO，ISO / IEC，COBIT 5，HIPAA，PCI，GDPR等）中包含的所有要求？你如何設法使整個複雜的合規活動機制實際上運作良好？
避免對當前和迅速變化的問題採取過時的方法
IT安全和合規專業人員面臨巨大的壓力，要確保他們的組織保持合規性，並且不受網絡故障風險和監管者的憤怒。他們也可能需要盡可能有效地實現所有這些，而不涉及大量的資源 - 儘管實際上管理大量的經常重疊，有時是相互矛盾的規定是一個複雜的過程。
因此，發現有多少IT合規團隊仍然依賴自行開發的基於電子表格的系統或過時的應用程序軟件來管理合規流程，這一點令人驚訝。負責IT合規的職能部門正在使用過時的IT應用程序似乎有點諷刺意味 - 但情況往往如此。這個問題有點可以理解，IT規定，標準和合規要求是不斷發展的 - 就像底層的IT系統本身一樣。在跨國公司和多業務公司中，孤島可以根據最新或本地要求進行開發，而各個孤島之間的協調和協作很少。
提出更聰明的做法可能是時候了
在某種程度上，IT合規性領導者可以從正在進行的戰術挑戰中退步，並考慮是否有更好的方法來做事情。過時的IT應用程序不是答案; 在應用減少的資源和努力的同時，往往有更好的方法來實際保持符合要求。技術和最佳實踐的正確結合可以改變IT遵從性流程，無論是在效率和降低風險方面。
更智能的方法通常包括所有參與IT合規的多個領域的人員進行密切協作和功能集成。它還涉及提出修改的方法來管理和理解合規要求之間的聯繫和關係 - 使用專門支持以緊密集成的方式映射和鏈接多個需求與風險和控制的技術。
接下來的步驟通常是使用軟件來增加兩個關鍵領域的自動化：連續/正在進行的控制和活動測試，以及處理警報和控制異常的自動化工作流程（以及通常痛苦的問捲管理流程，評估和認證/認證）。
另一個重新考慮IT遵從性流程的關鍵因素是對解釋和實施監管要求的態度和做出更明智的選擇。當然，這包括控制合理化和協調 - 確保控製程序不是重複或冗餘 - 儘管它還包括一些冒險，超越了字面上的複選框的心態，更注重遵守整體“精神” （或意圖）的要求。
再一個步驟是將IT風險和合規整合到整個企業範圍內的風險管理流程中，從而確保充分解決風險的複雜性和程度。這意味著IT不是孤立地考慮，而是在組織面臨的整體風險和合規性問題的背景下，這也有助於確保對IT合規性挑戰作出明智和平衡的響應。
評估IT遵從性流程本身
沒有一種解決方案適合所有IT合規性功能。重要的是將最佳實踐應用於客觀監控和評估，而不僅僅是合規風險和要求，而是整個IT合規流程本身的運作情況。
─了解更多,歡迎洽詢JACKSOFT 資安防火牆持續性稽核全方位解決方案!E-mail: acl@jacksoft.com.tw