Основи аудиторського мислення

Що таке Основи аудиторського мислення?

Аудити відповідності перевіряють, чи дійсно Ваша організація дотримується політик безпеки, які вона декларує. У цій симуляції Ви берете на себе роль внутрішнього аудитора, який перевіряє контролі доступу та практики документування відділу. Ви проходите реалістичний аудиторський сценарій: перевіряєте, чи відповідають політики паролів реальній поведінці, верифікуєте, чи ревізії доступу були проведені за графіком, та виявляєте розбіжності між задокументованими процедурами та щоденними операціями. По ходу вправи Ви виявляєте типові знахідки, які підводять реальні організації, зокрема застарілі списки доступу та відсутні записи про затвердження. Вправа розвиває Вашу здатність виявляти прогалини у відповідності раніше за зовнішніх аудиторів та вчить підтримувати належний документальний слід, який забезпечує готовність Вашої команди до аудиту протягом усього року. Ви також дізнаєтесь, чому аудитори ставлять саме такі запитання, щоб Ви могли підготувати зважені відповіді, а не метушитися, коли настає сезон аудитів.

Що ви дізнаєтесь у Основи аудиторського мислення

• Визначати різницю між задекларованими політиками безпеки та фактичною поведінкою працівників під час аудиторської перевірки
• Оцінювати документацію контролю доступу на повноту, точність та відповідність організаційним стандартам
• Розпізнавати найпоширеніші аудиторські знахідки, що призводять до висновків про невідповідність у реальних перевірках
• Вести належні докази діяльності з безпеки, включаючи ревізії доступу та підтвердження ознайомлення з політиками
• Готувати чіткі, фактичні відповіді на запитання аудиторів, не розкриваючи зайвої інформації та не створюючи нових ризиків невідповідності

Основи аудиторського мислення — Кроки навчання

1. Звичайний день четверга

   Сьогодні четвер після обіду. Ви працюєте в компанії два роки і пишаєтеся своєю увагою до деталей.

2. Терміновий запит

   Від вашого керівника Девіда Чена надійшов новий електронний лист, позначений як терміновий. Тема рядка: «Терміново: платіж постачальника – потрібно сьогодні». Девід зазвичай дуже організований, тому терміновий запит в останню хвилину привертає увагу Аліси.

3. Перший інстинкт

   Перший інстинкт Аліси — негайно допомогти Девіду. Він її менеджер, прохання виглядає розумним, і вона не хоче відкладати важливий платіж. Але щось відчувається трохи не так. Перш ніж діяти, вона вирішує ретельніше обдумати прохання.

4. Аудиторське мислення

   Аудиторське мислення означає підходити до запитів зі здоровим скептицизмом. Аліса ставить собі три ключові запитання: 1. Чи є цей запит незвичним чи неочікуваним? 2. Чи обходить звичайні процедури? 3. Чи є тиск діяти швидко без перевірки?

5. Аналіз червоних прапорів

   Аліса уважніше вивчає електронний лист і виявляє кілька попереджувальних знаків.

6. Рішення перевірки

   Незважаючи на те, що електронний лист виглядає надісланим від Девіда, Аліса вирішує перевірити запит через інший канал. Це основний принцип мислення аудиту: завжди перевіряйте незвичні запити, використовуючи метод, окремий від початкового повідомлення.

7. Дзвінок для підтвердження

   Аліса бере телефон і дзвонить Девіду безпосередньо за номером, збереженим у її контактах, а не за номером, указаним у підозрілому електронному листі.

8. Перевірка окупається

   Девід підтверджує, що ніколи не надсилав цей електронний лист. Він вдячний, що Аліса подзвонила, щоб перевірити перед обробкою платежу. Електронна пошта була атакою Business Email Compromise (BEC) – зловмисник або підмінив електронну адресу Девіда, або на короткий час отримав доступ до його облікового запису.

9. Повідомлення про інцидент

   Девід просить Алісу повідомити про спробу атаки IT Security через портал звітів про інциденти компанії. Швидке звітування допомагає команді безпеки розслідувати та захищати інших від подібних атак.

10. Подання Звіту

    Аліса заповнює звіт про інцидент із детальною інформацією про підозрілу електронну пошту, включаючи позначені нею червоні прапорці та кроки перевірки, які вона вжила.