|
تدقيق نظم تقنية المعلوماتتدقيق تقنية المعلومات أو تدقيق نظم المعلومات، هي الممارسة التي تدور حول التحكم بإدارة وفحص البنية التحتية الخاصة بتقنية المعلومات. تدور هذه الممارسات والتحكم والتقييمات في نظم المعلومات ما إذا كانت هذه الأنظمة تحت نطاق آمن للإستخدام وسهل للوصول وآمن بالنسبة لمعايير المصداقية ومعايير التشغيل والسلامة من الجرائم الإلكترونية المفتعلة أو المتعمدة. هنالك أهداف وسياسات واضحة تخضع تحت نظام إدارة وتحكم النظم التشغيلية في تدقيق تقنية المعلومات، ومن أهم هذه السياسات هو تحقيق أهداف المنظمة التشغيلية أو الشركة. يمكن أن يكون هنالك أيضا بعض المعايير التي تتدخل في تحقيق نجاح التدقيق المعلوماتي مثل الكشوفات المالية، التدقيق الداخلي أو أي افتراضيات أخرى قد تتدخل أيضا لاحقا. تُعرف عمليات تدقيق تقنية المعلومات أيضًا باسم العمليات الآلية لتدقيق معالجة البيانات أو بالإنجليزية: (ADP Audits) وعمليات تدقيق الحاسب الآلي. في السابق، عمليات تدقيق تقنية ونظم المعلومات كانت تسمى (عمليات تدقيق معالجة البيانات الإلكترونية) أو بالإنجليزية (EDP Audits). أهداف وغرض التدقيقتختلف عمليات تدقيق تقنية المعلومات عن تدقيق البيانات والكشوفات المالية. للتوضيح أكثر، فنحن نجري عمليات التدقيق المالي لمعرفة ما إذا كانت الكشوفات المالية تظهر بشكل صحيح وعادل، وما إذا كان التدفق المالي يتوافق كليا مع مايظهر من ممارسات ونتائج أقسام المحاسبة والقياس. ومن نقطة أخرى، أهداف وغايات التدقيق في عمليات تقنية ونظم المعلومات هو معرفة ما إذا كان التصميم العام وكفاءة وفعالية النظام تسير بشكل مستمر وصحيح. على سبيل المثال (لا الحصر) يشمل التدقيق مراقبة بروتوكولات الأمن المنفذه وكفائتها، مراقبة التطوير، ومراقبة الإدارة الكبرى لتقنية المعلومات وتوابعها. من المعروف أنه من الضروري تثبيت العناصر التقنية المسؤولة عن التحكم، لكن ورغم ذلك لا يعد هذا كافيا لضمان وتوفير الحماية الكاملة أو الكافية. هناك مسؤولية كبيرة تندرج تحت مهام مسؤولين التدقيق، ومن هذه المهام معرفة مدى كفاءة وفعالية الأدوات المستخدمة في التحكم في التدقيق المعلوماتي ومعرفة ما إذا كانت هذه الأدوات مهيئة للعمل بالشكل الذي هو مطلوب منها، وأيضا فعاليتها في الحالات الصعبة مثل حالات اختراق النظام وماشابه، وإذا حدث مثل هذه الاختراقات، يجب أيضا الإلمام التام بالإجراءات المتخذه والمخطط لها ومعرفة الإجراءات المستقبلية لمثل هذه الحالات. ولأهمية وحساسية هذه الأمور، يجب الرد على هذه الإستفسارات بواسطة أناس مراقبين غير متحيزين ومستقلين، وهؤلاء هم من يراقب عملية تدقيق البيانات في تقنية ونظم المعلومات. في عالم نظم المعلومات وطبيعة البيئة الموجودة هناك، يتم فحص وتدقيق كافة عناصر نظم المعلومات وذلك من مدخلات ومخرجات ونتائج ومعالجات. الركائز الأساسية في عملية تدقيق نظم وتقنية المعلومات هي بأن يتم فحص وتقييم مدى فعالية وكفاءة الأنظمة الموجودة حاليا في الشركات أو المؤسسات التي من أجلها يتم حماية معلومات الشركة نفسها. بالتحديد وعلى وجه الخصوص، هي بأن يتم اختبار وفحص قدرة المنظمات على حماية وأمن معلوماتها وأصول ممتلكاتها، وأيضا للتأكد ما إذا كانت المنظمة تقوم على توزيع ومعالجة المعلومات بشكل دقيق وصحيح على جهاتها المعتمدة. التدقيق في تقنية ونظم المعلومات يتمحور أيضا ويستلخص في النقاط/ الأسئلة التالية:
وبكل تلك الطرق، من المرجح جدا في أن هذا التدقيق سيلعب دور كبير في تقييم المخاطر المتوقعة على الشركات والمنظمات والحد من هذه المخاطر في التأثير على أصول المعلومات والبيانات للمنظمة. أنواع عمليات التدقيق في تقنية المعلوماتقام عدد كبير من السلطات بتمييز وتصنيف عدة مسميات وأنواع لعمليات التدقيق في تقنية المعلومات. بحسب ماثبت من جودمن ولوليس (Goodman & Lawless)، إجراءات عمليات تدقيق تقنية المعلومات يقوم تحت ثلاث أساليب رئيسية ممنهجة ومحددة وهي: [1]
يصف آخرون نطاق عمليات تدقيق تكنولوجيا المعلومات بخمس فئات من عمليات التدقيق وهي:
وبعضها يراجع جميع عمليات تدقيق تكنولوجيا المعلومات باعتبارها واحدة من نوعين فقط: عمليات مراجعة «مراجعة التحكم العامة» أو عمليات مراجعة «مراجعة التحكم في التطبيق». يعتبر عدد من المتخصصين في مراجعة تكنولوجيا المعلومات من مجال ضمان المعلومات أن هناك ثلاثة أنواع أساسية من الضوابط بغض النظر عن نوع التدقيق الذي يتعين إجراؤه، وخاصة في مجال تكنولوجيا المعلومات. تحاول العديد من الإطارات والمعايير تقسيم عناصر التحكم إلى تخصصات أو ساحات مختلفة، مما يعني أنها «عناصر تحكم الأمان»، «عناصر التحكم في الوصول»، «عناصر تحكم IA» في محاولة لتحديد أنواع عناصر التحكم المعنية. على مستوى أكثر جوهرية، يمكن أن تظهر عناصر التحكم هذه على ثلاثة أنواع من الضوابط الأساسية: الضوابط الوقائية، وضوابط المباحث، والضوابط التفاعلية/التصحيحية. في IS، هناك نوعان من المدققين والمراجعة: داخلي وخارجي. عادة ما يكون تدقيق IS جزءًا من التدقيق الداخلي في المحاسبة، وغالبًا ما يتم إجراؤه بواسطة المدققين الداخليين للشركة. يقوم المراجع الخارجي بمراجعة نتائج التدقيق الداخلي وكذلك مدخلات ومعالجة ومخرجات نظم المعلومات. غالباً ما تكون المراجعة الخارجية لأنظمة المعلومات جزءًا من المراجعة الخارجية الشاملة التي تقوم بها شركة محاسب قانوني معتمد. تدرس IS جميع المخاطر والضوابط المحتملة في نظم المعلومات. إنها تركز على قضايا مثل العمليات والبيانات والنزاهة وتطبيقات البرامج والأمن والخصوصية والميزانيات والنفقات ومراقبة التكاليف والإنتاجية. تتوفر إرشادات لمساعدة المراجعين في وظائفهم، مثل تلك الموجودة في جمعية تدقيق ومراقبة أنظمة المعلومات.[3] مراحل التدقيقالنقاط التالية تشكل الخطوات أو المراحل الرئيسية في تكوين عمليات التدقيق في تقنية المعلومات: [4]
أمن المعلوماتيعد تدقيق أمن المعلومات جزءًا حيويًا من أي تدقيق لتكنولوجيا المعلومات، وغالبًا ما يُفهم أنه الغرض الأساسي من تدقيق تكنولوجيا المعلومات. ويشمل نطاق واسع لأمن المعلومات التدقيق في مواضيع مثل مراكز البيانات (الأمن المادي لمراكز البيانات وأمن المنطقي لقواعد البيانات والخوادم ومكونات البنية التحتية للشبكة)، [5] الشبكات وتطبيق الأمن. مثل معظم المجالات الفنية، هذه المواضيع تتطور دائمًا؛ يجب أن يواصل مراقبو تقنية المعلومات باستمرار توسيع معارفهم وفهمهم للأنظمة والبيئة والسعي في شركة النظام. تاريخ تدقيق تكنولوجيا المعلوماتتم تشكيل مفهوم تدقيق تكنولوجيا المعلومات في منتصف الستينيات. منذ ذلك الوقت، مرت تدقيق تكنولوجيا المعلومات بالعديد من التغييرات، ويرجع ذلك إلى حد كبير إلى التقدم في التكنولوجيا ودمج التكنولوجيا في الأعمال. حاليًا، هناك العديد من الشركات المعتمدة على تكنولوجيا المعلومات والتي تعتمد على تقنية المعلومات من أجل إدارة أعمالها، مثل شركة الاتصالات أو البنوك. بالنسبة للأنواع الأخرى من الأعمال، تلعب تكنولوجيا المعلومات الجزء الأكبر من الشركة بما في ذلك تطبيق سير العمل بدلاً من استخدام نموذج طلب الورق، باستخدام التحكم في التطبيق بدلاً من التحكم اليدوي الذي هو أكثر موثوقية أو تطبيق تنفيذ ERP لتسهيل المنظمة باستخدام تطبيق واحد فقط. وفقا لهذه، تزداد أهمية تدقيق تكنولوجيا المعلومات باستمرار. أحد أهم أدوار تدقيق تكنولوجيا المعلومات هو التدقيق على النظام المهم لدعم التدقيق المالي أو لدعم اللوائح المحددة المعلنة مثل SOX. موظفي المراجعةالشهادات المهنية
مبادئ مراجعة تكنولوجيا المعلوماتيجب أن تجد المبادئ التالية للتدقيق انعكاسًا في العمليات المنفذة: [10]
تصف هذه القائمة من مبادئ التدقيق لتطبيقات التشفير -إلى جانب أساليب التحليل الفني- وخاصة القيم الأساسية التي ينبغي مراعاتها. أسباب طارئةهناك أيضًا عمليات تدقيق جديدة تفرضها مختلف المجالس القياسية والتي يتعين تنفيذها، اعتمادًا على المؤسسة المدققة، والتي ستؤثر على تكنولوجيا المعلومات وتضمن أن أقسام تكنولوجيا المعلومات تؤدي وظائف وضوابط معينة بشكل مناسب لتكون متوافقة. ومن أمثلة عمليات التدقيق هذه SSAE 16 و ISAE 3402 و ISO27001: 2013 . تدقيقات وجود الويبأدى تمديد وجود تكنولوجيا المعلومات للشركات إلى ما وراء جدار حماية الشركة (مثل اعتماد وسائل التواصل الاجتماعي من قبل المؤسسة إلى جانب انتشار الأدوات المستندة إلى مجموعة النظراء مثل أنظمة إدارة وسائل التواصل الاجتماعي) إلى زيادة أهمية دمج عمليات تدقيق حضور الويب في IT / IS (التدقيقي). تتضمن أغراض عمليات التدقيق هذه ضمان قيام الشركة باتخاذ الخطوات اللازمة من أجل:
كان استخدام الأدوات التي طورتها الإدارات أو المستخدم موضوعًا مثيرًا للجدل في الماضي. ومع ذلك، مع توافر أدوات تحليل البيانات على نطاق واسع، ولوحات المعلومات، والحزم الإحصائية، لم يعد المستخدمون بحاجة إلى الوقوف في طابور انتظار موارد تكنولوجيا المعلومات لتلبية الطلبات التي لا نهاية لها على ما يبدو للتقارير. تتمثل مهمة تقنية المعلومات في العمل مع مجموعات الأعمال لجعل الوصول المصرح به والإبلاغ عنه أسهل ما يمكن. لاستخدام مثال بسيط، يجب ألا يضطر المستخدمون إلى إجراء مطابقة البيانات الخاصة بهم بحيث يتم ربط الجداول العلائقية الخالصة بطريقة ذات معنى. يحتاج تكنولوجيا المعلومات إلى إتاحة ملفات نوع مستودع بيانات غير طبيعية للمستخدمين بحيث يتم تبسيط أعمال التحليل الخاصة بهم. على سبيل المثال، ستقوم بعض المؤسسات بتحديث المستودع بشكل دوري وإنشاء جداول «سهلة الاستخدام» يمكن تحميلها بسهولة بواسطة حزمة مثل Tableau واستخدامها لإنشاء لوحات معلومات. تدقيق اتصالات المؤسسةيؤدي ظهور شبكات VOIP وقضايا مثل BYOD والقدرات المتزايدة لأنظمة الاتصالات الهاتفية للمؤسسات الحديثة إلى زيادة خطر إساءة تكوين البنية التحتية الأساسية للاتصالات الهاتفية، مما يترك المؤسسة مفتوحة أمام إمكانية الاحتيال في الاتصالات أو تقليل ثبات النظام. تقوم البنوك والمؤسسات المالية ومراكز الاتصال بوضع سياسات يتم تطبيقها عبر أنظمة الاتصالات الخاصة بها. تقع مهمة التدقيق في أن أنظمة الاتصالات في امتثال للسياسة على عاتق مراجعي الاتصالات المتخصصين. تضمن عمليات التدقيق هذه أنه يجب على أنظمة اتصالات الشركة مراعاة مايلي:
وتسمى عمليات تدقيق الاتصالات في المؤسسة أيضًا «التدقيق الصوتي»، [15] ولكن يتم إهمال المصطلح بشكل متزايد لأن البنية التحتية للاتصالات تصبح بشكل متزايد موجهة للبيانات وتعتمد على البيانات. يتم أيضًا إهمال مصطلح «تدقيق الاتصال الهاتفي» [16] نظرًا لأن البنية التحتية الحديثة للاتصالات، خاصةً عند التعامل مع العملاء، هي قناة شاملة، حيث يحدث التفاعل عبر قنوات متعددة، وليس فقط عبر الهاتف.[17] واحدة من القضايا الرئيسية التي ابتليت بها مراجعة اتصالات المؤسسة هي عدم وجود معايير محددة من قبل الصناعة أو معايير معتمدة من الحكومة. تعتمد عمليات تدقيق تكنولوجيا المعلومات على أساس الالتزام بالمعايير والسياسات التي تنشرها مؤسسات مثل NIST و PCI، ولكن عدم وجود هذه المعايير لتدقيق اتصالات المؤسسة يعني أن هذه المراجعات يجب أن تستند إلى المعايير والسياسات الداخلية للمنظمة، بدلاً من الصناعة، المعايير. نتيجة لذلك، لا تزال عمليات تدقيق اتصالات المؤسسة تتم يدويًا، مع إجراء اختبارات عشوائية لأخذ العينات. وأدوات آلية عمل تدقيق السياسات لاتصالات المؤسسة أصبحت متوفرة مؤخرًا فقط.[18] إنظر أيضاًالأدلة الجنائية للحاسب الآلي
عمليات
متنوع
المخالفات والأفعال غير القانونية
المراجع
روابط خارجية
|
Portal di Ensiklopedia Dunia
