MedaGRC
ممیزی ISO 27001 زمانی سخت و پرهزینه می‌شود که کنترل‌ها در یک فایل، شواهد در پوشه‌های اشتراکی، مسئولان در ایمیل‌ها و عدم‌انطباق‌ها در چند اکسل جدا از هم نگهداری شوند. در چنین شرایطی، بخش زیادی از انرژی تیم امنیت صرف پیدا کردن مدرک می‌شود، نه ارزیابی واقعی اثربخشی کنترل‌ها.
در MedaGRC مسیر ممیزی به‌صورت یک زنجیره قابل ردیابی مدیریت می‌شود: دامنه ممیزی ← کنترل ← شاهد ← ارزیابی ← یافته ← عدم‌انطباق ← اقدام اصلاحی ← شاهد جدید ← تأیید ممیز. این ساختار کمک می‌کند نتیجه ممیزی فقط یک گزارش نهایی نباشد و تا رفع واقعی مسئله دنبال شود.
سناریو: ممیزی کنترل‌های دسترسی در واحد مالی
فرض کنید سازمان برای ممیزی داخلی ISO/IEC 27001 آماده می‌شود. یکی از حوزه‌های حساس، دسترسی کاربران واحد مالی به ERP، فایل‌سرورها و سامانه‌های پرداخت است. ممیز می‌خواهد بداند دسترسی‌ها بر اساس نقش شغلی تعریف شده‌اند، حساب‌های بلااستفاده حذف می‌شوند و بازبینی دوره‌ای دسترسی واقعاً انجام می‌شود یا فقط در دستورالعمل نوشته شده است.
جدول گام‌های ممیزی ISO 27001 در MedaGRC
| گام | اقدام در MedaGRC | شاهد یا خروجی | مسئول |
|---|---|---|---|
| ۱ | تعریف دامنه ممیزی و واحدهای درگیر | دامنه، تاریخ، هدف و محدوده سیستم‌ها | مدیر ISMS |
| ۲ | انتخاب کنترل‌های مرتبط | فهرست کنترل‌ها و ارتباط آن‌ها با ریسک‌ها | مدیر GRC |
| ۳ | تخصیص کنترل به مالک و ممیز | مالک کنترل، ممیز و سررسید | مدیر GRC |
| ۴ | جمع‌آوری Evidence | گزارش کاربران، سیاست، لاگ، تیکت و صورت‌جلسه | مالک کنترل |
| ۵ | ارزیابی شاهد و اجرای کنترل | منطبق، تا حدی منطبق، نامنطبق یا غیرقابل‌اعمال | ممیز |
| ۶ | ثبت Finding و عدم‌انطباق | شرح نقص، شدت، ریسک مرتبط و شاهد | ممیز |
| ۷ | تعریف اقدام اصلاحی | مسئول، مهلت، اقدام و معیار پذیرش | مالک اقدام |
| ۸ | ثبت شاهد اصلاح | گزارش جدید، تأیید مدیر یا لاگ تغییر | مالک اقدام |
| ۹ | ممیزی مجدد و Closure | تأیید اثربخشی و بستن یافته | ممیز |
یک عدم‌انطباق واقعی چه شکلی است؟
در نمونه‌برداری مشخص می‌شود حساب یکی از کارکنانی که دو ماه قبل از سازمان خارج شده همچنان فعال است. ممیز فقط نمی‌نویسد حساب کاربر حذف نشده؛ یافته را به ریسک دسترسی غیرمجاز به اطلاعات مالی متصل می‌کند، شاهد را ثبت می‌کند و برای آن اقدام اصلاحی تعریف می‌شود.
اقدام اصلاحی نیز نباید صرفاً غیرفعال کردن همان حساب باشد. باید علت ریشه‌ای بررسی شود: آیا فرایند خروج کارکنان به تیم IT اطلاع نمی‌دهد؟ آیا مالک دسترسی مشخص نیست؟ آیا بازبینی دوره‌ای اجرا نمی‌شود؟ در MedaGRC می‌توان اقدام فوری و اقدام ریشه‌ای را جداگانه پیگیری کرد تا ممیزی بعدی دوباره همان مسئله را کشف نکند.
ممیز چه چیزی را در یک نگاه می‌بیند؟
برای هر کنترل می‌توان وضعیت فعلی، مالک، آخرین ارزیابی، شواهد، یافته‌های باز، اقدامات اصلاحی و تاریخچه تصمیم‌ها را کنار هم دید. نتیجه این است که ممیزی از یک چک‌لیست بله/خیر به یک فرایند قابل دفاع تبدیل می‌شود.
چه شواهدی مناسب‌اند؟
- سیاست‌ها و روش‌های اجرایی مصوب
- گزارش کاربران و گروه‌های دسترسی
- لاگ‌های امنیتی و گزارش ابزارهای مدیریتی
- صورت‌جلسه بازبینی دسترسی‌ها
- تیکت ایجاد، تغییر یا حذف دسترسی
- خروجی آزمون نمونه‌ای کنترل‌ها
- شاهد اصلاح پس از رفع عدم‌انطباق
از ممیزی کاغذی تا ممیزی قابل ردیابی
در ممیزی کاغذی معمولاً خروجی نهایی یک فایل گزارش است. در ممیزی قابل ردیابی، هر یافته به کنترل، ریسک، مسئول، مهلت و شاهد اصلاح وصل می‌شود. این اتصال امکان گزارش مدیریتی واقعی را فراهم می‌کند: کدام کنترل‌ها بیشترین نقص را دارند؟ کدام واحدها اقدام اصلاحی معوق دارند؟ چه ریسک‌هایی هنوز بدون کنترل اثربخش مانده‌اند؟
برای مطالعه بیشتر، راهنمای آمادگی برای ممیزی ISO 27001 و مقاله ارزیابی کنترل‌های ISO 27001 از SoA تا Evidence را ببینید.
جمع‌بندی
ممیزی ISO 27001 در MedaGRC یعنی پاسخ روشن به پنج سؤال: چه کنترلی داریم؟ چرا لازم است؟ شاهد اجرای آن چیست؟ نقص احتمالی چه ریسکی ایجاد می‌کند؟ و اصلاح آن چه زمانی توسط ممیز تأیید شده است؟ وقتی این زنجیره یکپارچه باشد، ممیزی از یک پروژه پراسترس سالانه به بخشی طبیعی از مدیریت امنیت اطلاعات تبدیل می‌شود.
برای دیدن همین گردش‌کار در محصول، صفحه ممیزی و انطباق در MedaGRC را ببینید.
