หลักฐานและการรายงาน

การกล่าวว่าคุณมีความปลอดภัยยังไม่เพียงพอ คุณต้องพิสูจน์เรื่องนี้ด้วย หลักฐานและรายงานแสดงให้ผู้ตรวจสอบ ลูกค้า และหน่วยงานกำกับดูแลเห็นว่ามีการควบคุมอยู่จริงและทำงานตามที่กล่าวอ้าง

ในการตรวจสอบ การควบคุมที่ไม่มีเอกสารกำกับถือเสมือนว่าไม่มีอยู่จริง

หลักฐานคือสิ่งใดก็ตามที่แสดงอย่างเป็นกลางว่าการควบคุมทำงานได้:

• ข้อมูลส่งออกการกำหนดค่าและการตั้งค่าระบบ
• บันทึกการทบทวนสิทธิ์การเข้าถึงและการอนุมัติ
• บันทึก (การเข้าสู่ระบบ การเปลี่ยนแปลง การตรวจสอบ)
• ภาพหน้าจอที่มีวันเวลา
• รายการติดตามงาน นโยบาย และบันทึกการประชุม

หลักฐานที่มีคุณภาพสูงมีลักษณะดังนี้:

• เกี่ยวข้องกับการควบคุมที่กำลังทดสอบ
• เพียงพอในด้านปริมาณ (ครอบคลุมช่วงเวลาที่กำหนด)
• เชื่อถือได้และตรวจพบการแก้ไขดัดแปลง (หลักฐานที่ระบบสร้างขึ้นน่าเชื่อถือกว่าคำกล่าวอ้างด้วยตนเอง)
• ทันเวลาและอยู่ภายในช่วงเวลาที่ตรวจสอบ

การตรวจสอบแต่ละแบบต้องการหลักฐานในระดับความละเอียดต่างกัน:

• ณ เวลาใดเวลาหนึ่ง (SOC 2 ประเภทที่ 1): การควบคุมมีอยู่ในวันนี้
• ตลอดช่วงเวลา (SOC 2 ประเภทที่ 2): การควบคุมทำงานต่อเนื่องเป็นเวลาหลายเดือน จึงต้องมีหลักฐานที่เกิดขึ้นซ้ำเป็นระยะ เช่น การทบทวนสิทธิ์การเข้าถึงรายเดือน

สำหรับหลักฐานจากเหตุการณ์และการตรวจพิสูจน์ทางนิติวิทยาศาสตร์ ให้รักษาลำดับการเก็บรักษาหลักฐาน ซึ่งเป็นบันทึกเอกสารว่าใครเป็นผู้เก็บ รวบรวม จัดการ และจัดเก็บหลักฐานแต่ละรายการ หากลำดับการเก็บรักษาขาดตอน หลักฐานอาจไม่สามารถรับฟังได้หรือไม่น่าเชื่อถือ

ผู้ตรวจสอบแทบไม่ตรวจสอบบันทึกทุกรายการ แต่จะเลือกตัวอย่างที่เป็นตัวแทน หน้าที่ของคุณคือจัดเตรียมข้อมูลทั้งหมดของกลุ่มข้อมูลให้ครบถ้วน เพื่อให้ตัวอย่างมีความถูกต้อง (เช่น รายชื่อพนักงานใหม่ทั้งหมดเมื่อทดสอบการควบคุมระหว่างเริ่มงาน)

ภาพหน้าจอที่เก็บด้วยตนเองไม่เหมาะกับการขยายขนาด เครื่องมืออัตโนมัติด้านการปฏิบัติตามข้อกำหนดจะดึงหลักฐานอย่างต่อเนื่องจากระบบคลาวด์และระบบข้อมูลประจำตัว ทำให้หลักฐานเป็นปัจจุบันและลดความเร่งรีบในช่วงตรวจสอบ

รายงานที่ดีต้องสื่อสารอย่างชัดเจนกับทั้งผู้อ่านสายเทคนิคและผู้บริหาร:

• บทสรุปผู้บริหาร: สถานะด้านความปลอดภัยโดยรวมและความเสี่ยงสำคัญ
• ขอบเขตและระเบียบวิธี
• ข้อค้นพบพร้อมระดับความรุนแรงและหลักฐาน
• ข้อเสนอแนะและสถานะการแก้ไข

ปรับเนื้อหาให้เหมาะกับกลุ่มผู้ฟัง ผู้บริหารต้องการทราบความเสี่ยงและผลกระทบทางธุรกิจ ส่วนวิศวกรต้องการรายละเอียดและขั้นตอนการทำให้เกิดปัญหาซ้ำ หลีกเลี่ยงศัพท์เฉพาะในบทสรุป และหลีกเลี่ยงถ้อยคำกำกวมในรายละเอียดทางเทคนิค

เก็บรักษาหลักฐานไว้นานเท่าที่กรอบมาตรฐานและนโยบายของคุณกำหนด โดยมักเป็นเวลาหนึ่งปีขึ้นไป จัดเก็บอย่างปลอดภัยด้วยการควบคุมการเข้าถึง เนื่องจากหลักฐานเองอาจมีการกำหนดค่าที่ละเอียดอ่อนและข้อมูลส่วนบุคคล

รายงานเป็นจุดเริ่มต้น ไม่ใช่จุดสิ้นสุด นำข้อค้นพบเข้าสู่เครื่องมือติดตามการแก้ไข แก้ไขสาเหตุราก และนำบทเรียนไปใช้ในรอบถัดไป โปรแกรมที่มีวุฒิภาวะแสดงให้เห็นว่า ข้อค้นพบที่เกิดซ้ำมีแนวโน้มลดลงเมื่อเวลาผ่านไป

ประเมินความแข็งแกร่งของหลักฐาน

หลักฐานและรายงานช่วยพิสูจน์การปฏิบัติตามข้อกำหนด:

• รวบรวมหลักฐานที่เกี่ยวข้อง เพียงพอ เชื่อถือได้ และทันเวลา
• กำหนดระดับความละเอียดให้เหมาะกับการตรวจสอบ ณ เวลาใดเวลาหนึ่งหรือตลอดช่วงเวลา
• รักษาลำดับการเก็บรักษาหลักฐานและสนับสนุนการสุ่มตัวอย่างที่ถูกต้อง
• เขียนรายงานให้ชัดเจนและนำข้อค้นพบเข้าสู่กระบวนการแก้ไข