MedaGRC
وجود یک Control در Policy یا سامانه به معنی مؤثر بودن آن نیست. Control Testing بررسی می‌کند آیا کنترل درست طراحی شده و آیا در عمل هم مطابق طراحی اجرا می‌شود.
Design Effectiveness چیست؟
Design Effectiveness می‌پرسد اگر Control دقیقاً همان‌طور که طراحی شده اجرا شود، آیا برای رسیدن به Control Objective مناسب است؟
مثلاً اگر هدف جلوگیری از دسترسی کارکنان سابق باشد ولی Control فقط سالی یک‌بار Access Review انجام دهد، طراحی Control ممکن است برای Risk کافی نباشد.
Operating Effectiveness چیست؟
Operating Effectiveness می‌پرسد Control در دوره مورد بررسی واقعاً اجرا شده یا نه. ممکن است Design خوب باشد اما اجرا ناقص باشد.
سناریو: Quarterly Access Review
Control می‌گوید هر فصل دسترسی کاربران سامانه مالی توسط Owner بازبینی شود.
- Design Test: آیا Scope، Frequency، Owner و معیار Review منطقی‌اند؟
- Operating Test: آیا چهار Review مورد انتظار انجام شده‌اند؟ آیا Exceptionها بسته شده‌اند؟
Test Procedure را قبل از اجرا بنویسید
روش تست باید مشخص کند چه Populationی بررسی می‌شود، Sample چگونه انتخاب می‌شود، چه Evidence لازم است و Pass/Fail بر چه اساسی تعیین می‌شود.
| فیلد | مثال |
|---|---|
| Population | تمام Access Reviewهای سال |
| Sample | چهار Quarter |
| Evidence | Review Report و Approval |
| Criteria | به‌موقع، Scope کامل، Exception Closed |
Sampling باید با Risk متناسب باشد
یک Sample تصادفی کوچک برای Control بحرانی شاید کافی نباشد. Frequency، حجم Population، Criticality و سابقه Finding باید روی روش Test اثر بگذارند.
Exception را گم نکنید
اگر در Test مشخص شود یک Review ناقص بوده، Exception باید ثبت و ارزیابی شود. تعداد و شدت Exceptionها می‌توانند Effectiveness را کاهش دهند و حتی Residual Risk را تغییر دهند.
Test Result باید به Action برسد
نتیجه «Ineffective» بدون Remediation ارزش کمی دارد. Finding، Root Cause، Owner، Deadline و Retest باید بخشی از Workflow باشند.
Control Testing در MedaGRC
در سامانه مدیریت کنترل‌های امنیتی، Control، Test، Evidence، Finding و Action می‌توانند در یک زنجیره باقی بمانند. این ارتباط برای Audit و Continuous Compliance حیاتی است.
سخن پایانی
Control Testing پاسخ می‌دهد «آیا این کنترل واقعاً کار می‌کند؟» برای پاسخ معتبر باید Design، اجرا، Evidence و Exception را جدا بررسی کنیم؛ نه اینکه فقط وضعیت Implemented را ببینیم.
