الأدلة وإعداد التقارير

لا يكفي القول إنكم آمنون؛ بل يجب أن تثبتوا ذلك. توضح الأدلة والتقارير للمدققين والعملاء والجهات التنظيمية أن الضوابط موجودة وتعمل كما هو مُعلن.

يُعامل الضابط غير الموثق عمليًا على أنه غير موجود في عملية التدقيق.

الدليل هو أي شيء يثبت بصورة موضوعية أن أحد الضوابط يعمل:

• تصديرات الإعدادات وإعدادات الأنظمة.
• سجلات مراجعة الوصول والموافقات.
• السجلات (تسجيل الدخول والتغييرات والتدقيق).
• لقطات الشاشة التي تتضمن طوابع زمنية.
• التذاكر والسياسات ومحاضر الاجتماعات.

تشترك الأدلة القوية في عدة سمات:

• ذات صلة بالضابط الذي يجري اختباره.
• كافية من حيث الكمية (وتغطي الفترة المطلوبة).
• موثوقة وتكشف أي عبث بها (والأدلة التي ينشئها النظام أفضل من الادعاءات الذاتية).
• في الوقت المناسب، وضمن فترة التدقيق.

تتطلب عمليات التدقيق المختلفة مستويات مختلفة من عمق الأدلة:

• نقطة زمنية محددة (SOC 2 Type I): الضابط موجود اليوم.
• على مدى فترة (SOC 2 Type II): عمل الضابط لعدة أشهر، ولذلك تحتاجون إلى أدلة متكررة مثل مراجعات الوصول الشهرية.

بالنسبة إلى أدلة الحوادث والأدلة الجنائية الرقمية، حافظوا على سلسلة حيازة الأدلة: سجل موثق يوضح من جمع كل عنصر وتعامل معه وخزّنه. وقد يؤدي انقطاع سلسلة الحيازة إلى جعل الدليل غير مقبول أو غير موثوق.

نادرًا ما يراجع المدققون كل سجل. بل يأخذون عينة ممثلة. وتتمثل مهمتكم في إتاحة بيانات المجتمع الكامل حتى تكون العينة صحيحة (مثلًا، قائمة كاملة بالموظفين الجدد عند اختبار ضوابط الانضمام إلى الشركة).

لا تتوسع لقطات الشاشة اليدوية مع نمو العمل. تستخرج أدوات أتمتة الامتثال الأدلة باستمرار من الأنظمة السحابية وأنظمة الهوية، فتحافظ على حداثتها وتقلل ضغط فترة التدقيق.

يوصل التقرير الجيد المعلومات بوضوح إلى القراء التقنيين والتنفيذيين على حد سواء:

• الملخص التنفيذي: الوضع الأمني العام والمخاطر الرئيسية.
• النطاق والمنهجية.
• النتائج مع مستوى الخطورة والأدلة.
• التوصيات وحالة المعالجة.

كيّفوا الرسالة مع الجمهور. يحتاج التنفيذيون إلى معرفة المخاطر وتأثيرها في الأعمال، بينما يحتاج المهندسون إلى التفاصيل وخطوات إعادة إنتاج المشكلة. تجنبوا المصطلحات المتخصصة في الملخصات، وتجنبوا الغموض في التفاصيل التقنية.

احتفظوا بالأدلة للمدة التي يفرضها إطار العمل وسياستكم، وغالبًا ما تكون سنة أو أكثر. خزّنوها بأمان مع ضوابط وصول، لأن الأدلة نفسها قد تحتوي على إعدادات حساسة وبيانات شخصية.

التقرير نقطة بداية وليس نهاية. أدرجوا النتائج في متعقّب المعالجة، وأصلحوا الأسباب الجذرية، وانقلوا الدروس المستفادة إلى الدورة التالية. وتُظهر البرامج الناضجة انخفاضًا في تكرار النتائج بمرور الوقت.

قيّموا قوة الأدلة.

تثبت الأدلة والتقارير الامتثال:

• اجمعوا أدلة ذات صلة وكافية وموثوقة وفي الوقت المناسب.
• طابقوا مستوى العمق مع عمليات التدقيق التي تتم في نقطة زمنية محددة أو على مدى فترة.
• حافظوا على سلسلة حيازة الأدلة، وادعموا أخذ عينات صحيحة.
• اكتبوا تقارير واضحة، وأدرجوا النتائج في عملية المعالجة.