Kanıt ve Raporlama

Güvenli olduğunuzu söylemeniz yeterli değildir; bunu kanıtlamanız gerekir. Kanıtlar ve raporlama, denetçilere, müşterilere ve düzenleyici kurumlara kontrollerin mevcut olduğunu ve iddia edildiği gibi çalıştığını gösterir.

Belgelendirilmemiş bir kontrol, denetim açısından fiilen mevcut değildir.

Kanıt, bir kontrolün çalıştığını nesnel olarak gösteren her şeydir:

• Yapılandırma dışa aktarımları ve sistem ayarları.
• Erişim inceleme kayıtları ve onaylar.
• Günlükler (oturum açma, değişiklik, denetim).
• Zaman damgalı ekran görüntüleri.
• İş takip kayıtları, politikalar ve toplantı tutanakları.

Güçlü kanıt şu özellikleri taşır:

• Sınanan kontrolle ilgili olmalıdır.
• Miktar açısından yeterli olmalıdır (dönemi kapsamalıdır).
• Güvenilir ve üzerinde oynama yapıldığı belli olacak nitelikte olmalıdır (sistem tarafından üretilen kanıt, kişinin kendi beyanından daha güçlüdür).
• Denetim dönemi içinde zamanında sunulmalıdır.

Farklı denetimler farklı derinlikte kanıt gerektirir:

• Anlık (SOC 2 Type I): kontrol bugün mevcuttur.
• Bir dönem boyunca (SOC 2 Type II): kontrol aylar boyunca çalışmıştır; bu nedenle aylık erişim incelemeleri gibi yinelenen kanıtlara ihtiyacınız vardır.

Olay ve adli inceleme kanıtları için bir zincirleme teslim kaydı tutun: her bir unsuru kimin topladığını, işlediğini ve sakladığını gösteren belgelendirilmiş bir kayıt. Teslim zincirindeki kopukluk, kanıtın kabul edilemez veya güvenilmez sayılmasına neden olabilir.

Denetçiler nadiren her kaydı inceler. Temsili bir örnek alırlar. Göreviniz, örneğin geçerli olabilmesi için bütün evrene ait verileri eksiksiz biçimde erişilebilir kılmaktır (örneğin işe alım kontrollerini sınarken yeni işe alınanların tam listesini sağlamak).

Elle alınan ekran görüntüleri ölçeklenebilir değildir. Uyumluluk otomasyonu araçları bulut ve kimlik sistemlerinden sürekli olarak kanıt toplar; böylece kanıtı güncel tutar ve denetim dönemindeki yoğunluğu azaltır.

İyi bir rapor hem teknik hem de yönetici düzeyindeki okuyuculara açık biçimde ulaşır:

• Yönetici özeti: genel güvenlik durumu ve temel riskler.
• Kapsam ve yöntem.
• Önem derecesi ve kanıtlarıyla birlikte bulgular.
• Öneriler ve düzeltme durumu.

Mesajı hedef kitleye göre uyarlayın. Yöneticilerin risk ve iş etkisini, mühendislerin ise ayrıntıları ve yeniden üretme adımlarını bilmesi gerekir. Özetlerde jargon kullanmaktan, teknik ayrıntılarda ise belirsiz olmaktan kaçının.

Kanıtları, çerçevenin ve politikanızın gerektirdiği süre boyunca, çoğu zaman bir yıl veya daha uzun süre saklayın. Kanıtların kendisi hassas yapılandırma bilgileri ve kişisel veriler içerebileceğinden onları erişim denetimleriyle güvenli biçimde depolayın.

Rapor bir başlangıç noktasıdır, son değil. Bulguları düzeltme takip sistemine aktarın, temel nedenleri giderin ve alınan dersleri bir sonraki döngüye taşıyın. Olgun programlarda, yinelenen bulguların zaman içinde azaldığı görülür.

Kanıtın gücünü değerlendirin.

Kanıtlar ve raporlama uyumluluğu kanıtlar:

• İlgili, yeterli, güvenilir ve zamanında kanıtlar toplayın.
• Kanıtın derinliğini anlık ve dönemsel denetimlere göre belirleyin.
• Zincirleme teslim kaydını koruyun ve geçerli örneklemeyi destekleyin.
• Açık raporlar yazın ve bulguları düzeltme sürecine aktarın.