نحوه مدیریت شواهد ممیزی؛ Evidence معتبر، تازه و قابل ردیابی

Evidence یا شواهد ممیزی فقط فایل ضمیمه نیست. مدرک باید به یک ادعا پاسخ دهد: «این کنترل در این دامنه و در این دوره واقعاً اجرا شده است.» اگر فایل وجود داشته باشد اما معلوم نباشد چه چیزی را ثابت می‌کند، در روز ممیزی ارزش محدودی دارد.

شواهد خوب چه ویژگی‌هایی دارند؟

چرخه عمر Evidence را تعریف کنید

برای هر کنترل مشخص کنید چه مدرکی لازم است، چه کسی آن را تهیه می‌کند، تناوب آن چیست، چه کسی بازبینی می‌کند و تا چه زمانی نگهداری می‌شود. این کار جمع‌آوری Evidence را از فعالیت اضطراری قبل از ممیزی به بخشی از عملیات عادی تبدیل می‌کند.

سناریو: اسکرین‌شات قدیمی فایروال

برای اثبات بازبودن فقط پورت‌های مجاز، یک اسکرین‌شات شش ماهه از Ruleهای فایروال ارائه می‌شود. مشکل این است که مشخص نیست بعد از آن چه تغییراتی رخ داده است. Evidence بهتر می‌تواند Export فعلی Ruleها، سابقه تغییر و تأیید بازبینی دوره‌ای باشد.

Evidence را به کنترل وصل کنید، نه به پوشه ممیزی

پوشه‌هایی با نام «ممیزی ۱۴۰۵» شاید برای تحویل سریع مفید باشند، اما رابطه مدرک با کنترل را پنهان می‌کنند. بهتر است Evidence در کنار کنترل و دوره ارزیابی ثبت شود و ممیزی از همان ارتباط استفاده کند.

از Evidence اضافی هم پرهیز کنید

انباشت صدها فایل بدون طبقه‌بندی کیفیت را بالا نمی‌برد. برای هر کنترل «حداقل مدرک کافی» تعریف کنید. این کار هم زمان Owner را حفظ می‌کند و هم بررسی را برای ممیز ساده‌تر می‌سازد.

مدیریت شواهد در MedaGRC

در MedaGRC، Evidence باید جزئی از زنجیره کنترل و ارزیابی باشد. بخش ممیزی و انطباق برای همین نگاه طراحی شده است؛ یعنی مدرک از Finding و Action Plan جدا نمی‌ماند.

چک‌لیست کوتاه قبل از تأیید Evidence

• به کنترل درست متصل شده است؟
• دوره زمانی درست را پوشش می‌دهد؟
• منبع و مالک مشخص است؟
• نسخه جدیدتر وجود ندارد؟
• اگر ممیز سؤال کند، می‌توان منشأ آن را توضیح داد؟

سخن پایانی

Evidence خوب همان مدرکی است که بدون توضیح طولانی، اجرای واقعی کنترل را قابل دفاع کند. مدیریت شواهد یعنی این قابلیت دفاع را در طول سال بسازیم، نه چند روز قبل از ممیزی.