การตรวจสอบความปลอดภัยข้อมูล

การตรวจสอบความปลอดภัยข้อมูล เป็นการตรวจสอบในระดับการรักษาความปลอดภัยข้อมูลในองค์กรภายในขอบเขตของการรักษาความปลอดภัยข้อมูลการตรวจสอบมีหลายประเภทของการตรวจสอบวัตถุประสงค์การตรวจสอบแตกต่างกันหลายเป็นต้นส่วนใหญ่มักถูกควบคุมตรวจสอบสามารถแบ่งการเทคนิคทางกายภาพและการบริหาร ตรวจสอบความปลอดภัยของข้อมูลครอบคลุมหัวข้อจากการตรวจสอบความปลอดภัยทางกายภาพของศูนย์ข้อมูลการตรวจสอบความปลอดภัยของฐานข้อมูลเชิงตรรกะและไฮไลท์ส่วนประกอบสำคัญในการหาและวิธีการที่แตกต่างกันสำหรับการตรวจสอบพื้นที่เหล่านี้
เมื่อศูนย์กลางด้านไอทีของความปลอดภัยของข้อมูลก็สามารถเห็นได้เป็นส่วนหนึ่งของการตรวจสอบเทคโนโลยีสารสนเทศ มันมักจะอ้างแล้วว่าเทคโนโลยีสารสนเทศตรวจสอบความปลอดภัยหรือตรวจสอบความปลอดภัยคอมพิวเตอร์ อย่างไรก็ตามการรักษาความปลอดภัยข้อมูลครอบคลุมมากกว่า IT

ออกรายงานการตรวจสอบ

ข้อมูลศูนย์รายงานการตรวจสอบจะสรุปผลการสอบบัญชีและคล้ายรูปแบบรายงานตรวจสอบมาตรฐาน รายงานการตรวจสอบควรเป็นวันที่สำเร็จการสอบถามผู้สอบบัญชีและวิธีการ สิ่งที่รัฐควรตรวจสอบ entailed และอธิบายว่าทบทวนให้เท่านั้น"ประกัน จำกัด "เพื่อบุคคลที่สาม

ตรวจสอบการเข้ารหัสและ IT

ในการประเมินความต้องการลูกค้าให้ดำเนินการตามนโยบายการเข้ารหัสสำหรับองค์กรของตน Auditor ควรดำเนินการวิเคราะห์ความเสี่ยงของลูกค้าและค่าข้อมูล งาน บริษัท กับผู้ใช้ภายนอกหลายอีคอมเมิร์ซและลูกค้าที่สำคัญข้อมูลพนักงาน / ควรรักษานโยบายเข้มงวดการเข้ารหัสเพื่อเข้ารหัสข้อมูลที่ถูกต้องในระยะที่เหมาะสมในการเก็บรวบรวมข้อมูล
ผู้สอบบัญชีอย่างต่อเนื่องควรประเมินนโยบายการเข้ารหัสของลูกค้าและวิธีการ บริษัท ที่มีมากพึ่งพาอีคอมเมิร์ซและระบบเครือข่ายไร้สายมีมากเสี่ยงต่อการถูกขโมยและการสูญเสียข้อมูลที่สำคัญในการส่ง นโยบายและกระบวนการควรเป็นเอกสารและดำเนินการเพื่อให้มั่นใจว่าข้อมูลทั้งหมดที่ส่งมีการป้องกัน บริษัท สามารถฐานนโยบายในการวัตถุประสงค์สำหรับข้อมูลที่เกี่ยวข้อง Technology (COBIT) แนวทางการจัดตั้งขึ้นตาม IT Governance Institute (ITGI) และระบบสารสนเทศตรวจสอบและควบคุม Association (ISACA) ผู้สอบบัญชีควรทราบเพียงพอเกี่ยวกับแนวทาง COBIT
ผู้สอบบัญชีควรตรวจสอบว่าการจัดการมีการควบคุมในสถานที่มากกว่าการเข้ารหัสข้อมูลขั้นตอนการจัดการ เข้าถึงปุ่มควรต้องควบคุม dual คีย์ควรจะประกอบด้วยสองส่วนแยกและควรเก็บในคอมพิวเตอร์ที่ไม่สามารถเข้าถึงโปรแกรมเมอร์หรือผู้ใช้ภายนอก นอกจากการจัดการควรยืนยันว่านโยบายการเข้ารหัสข้อมูลให้อยู่ในระดับที่ต้องการการป้องกันและตรวจสอบว่าค่าใช้จ่ายในการเข้ารหัสข้อมูลที่ไม่เกินค่าของข้อมูลตัวที่ ข้อมูลที่จำเป็นทั้งหมดจะคงปริมาณครอบคลุมเวลาที่ควรได้รับการเข้ารหัสและการขนส่งไปยังสถานที่ห่างไกล ขั้นตอนควรอยู่ในสถานที่ที่จะรับประกันว่าการเข้ารหัสข้อมูลที่สำคัญมาถึงสถานที่และจัดเก็บอย่างถูกต้อง ในที่สุดผู้สอบบัญชีจะต้องสำเร็จการยืนยันจากการจัดการที่เป็นระบบการเข้ารหัสที่แข็งแกร่งไม่ attackable และสอดคล้องกับกฎหมายท้องถิ่นและระหว่างประเทศและระเบียบ

เครื่องมือเฉพาะที่ใช้ในการรักษาความปลอดภัยเครือข่าย

การรักษาความปลอดภัยเครือข่ายทำได้โดยเครื่องมือต่างๆรวมทั้งไฟร์วอลล์และเซิร์ฟเวอร์พร็อกซี่, การเข้ารหัสความปลอดภัยตรรกะและควบคุมการเข้าถึงซอฟต์แวร์ป้องกันไวรัสและระบบการตรวจสอบเช่นการเข้าสู่ระบบ
ไฟร์วอลล์เป็นส่วนมากพื้นฐานของเครือข่ายความปลอดภัย พวกเขามักจะอยู่ระหว่างเครือข่ายท้องถิ่นเอกชนและอินเทอร์เน็ต ไฟร์วอลล์ให้ไหลผ่านการจราจรที่จะสามารถรับรองความถูกต้อง, ตรวจสอบ, บันทึกและรายงาน บางชนิดของไฟร์วอลล์ ได้แก่ ไฟร์วอลล์ชั้นเครือข่ายไฟร์วอลล์ screened subnet ไฟร์วอลล์กรอง packet, packet dynamic ไฟร์วอลล์กรองไฟร์วอลล์ hybrid ไฟร์วอลล์โปร่งใสและไฟร์วอลล์สมัครระดับ
กระบวนการของการเข้ารหัสลับเกี่ยวกับการแปลงข้อความธรรมดาเป็นชุดของตัวอักษรอ่านไม่ได้เรียกว่า ciphertext หากข้อความที่เข้ารหัสถูกขโมยหรือบรรลุในขณะที่การขนส่ง, เนื้อหานั้นอ่านไม่ได้ไปดู นี้รับประกันการส่งปลอดภัยและมีประโยชน์อย่างมากให้กับ บริษัท ส่ง / รับข้อมูลที่สำคัญ การเข้ารหัสข้อมูลเมื่อมาถึงผู้รับในกระบวนการถอดรหัสจะใช้งานเพื่อคืน ciphertext กลับไป plaintext
เซิร์ฟเวอร์ Proxy ซ่อนที่อยู่ที่แท้จริงของเวิร์กสเตชันลูกค้าและยังสามารถทำหน้าที่เป็นไฟร์วอลล์ พร็อกซี่เซิร์ฟเวอร์ที่มีซอฟต์แวร์ไฟร์วอลล์พิเศษในการบังคับใช้การตรวจสอบ พร็อกซี่เซิร์ฟเวอร์ที่ทำหน้าที่เป็นไฟร์วอลล์ชายกลางสำหรับหน้าผู้ใช้
โปรแกรมป้องกันไวรัสเช่น McAfee และ Symantec ซอฟต์แวร์ค้นหาและกำจัดของเนื้อหาที่เป็นอันตราย เหล่านี้โปรแกรมป้องกันไวรัสทำงานปรับปรุงอยู่เพื่อให้แน่ใจว่ามีข้อมูลล่าสุดเกี่ยวกับไวรัสคอมพิวเตอร์ที่รู้จักกัน
รวมถึงการรักษาความปลอดภัย Logical ซอฟต์แวร์สำหรับระบบขององค์กรรวมทั้ง ID และเข้าถึงผู้ใช้รหัสผ่านการตรวจสอบสิทธิการเข้าถึงและระดับอำนาจ มาตรการเหล่านี้เพื่อให้มั่นใจว่าผู้ใช้อำนาจเท่านั้นที่สามารถดำเนินการหรือการเข้าถึงข้อมูลในเครือข่ายหรือเวิร์กสเตชัน
ตรวจสอบระบบการติดตามและบันทึกสิ่งที่เกิดขึ้นบนเครือข่ายขององค์กร โซลูชั่นระบบการจัดการมักจะใช้เส้นทางจากส่วนกลางรวบรวมตรวจสอบจากระบบต่างกันในการวิเคราะห์และนิติการจัดการระบบที่ดีเยี่ยมสำหรับการติดตามและระบุผู้ใช้ที่อาจไม่ได้รับอนุญาตพยายามเข้าถึงเครือข่ายและสิ่งที่ผู้ใช้มีการเข้าถึงเครือข่ายและการเปลี่ยนแปลงผู้ใช้อำนาจ ซอฟต์แวร์ที่บันทึกและการใช้ดัชนีในรอบหน้าต่างเช่น ObserveIT ให้ตรวจสอบเส้นทางครอบคลุมกิจกรรมของผู้ใช้เมื่อเชื่อมต่อระยะไกลผ่านบริการ terminal, Citrix และซอฟต์แวร์การเข้าถึงระยะไกลอื่น ๆ = 
ตาม 2006 การสำรวจผู้ใช้ Nmap 3243 โดย Insecure.Org, Nessus, Wireshark, และ Snort บางเครื่องบนเครือข่ายความปลอดภัยสูงสุดคือ ตามการสำรวจเดียวกันที่ BackTrack Live CD คือการตรวจสอบข้อมูลด้านความปลอดภัยสูงสุดและการกระจายการทดสอบการเจาะNessus เป็นสแกนเนอร์การรักษาความปลอดภัยจากระยะไกลที่มีประสิทธิภาพเหนือกว่า 1,200 ตรวจสอบความปลอดภัยสำหรับ Linux, BSD, และ Solaris Wireshark วิเคราะห์โพรโทคอลเครือข่ายสำหรับ Unix และ Windows, และ Snort เป็นระบบตรวจจับการบุกรุกที่ยังสนับสนุน Microsoft Windows Nessus, Wireshark, และ Snort ได้ฟรี บางผลิตภัณฑ์เป็นที่นิยมอื่น ๆ เพื่อความปลอดภัยเครือข่ายรวม OmniGuard, Guardian และ LANGuard Omniguard เป็นไฟร์วอลล์ที่เป็นผู้ปกครองที่ยังมีการป้องกันไวรัส LANGuard ให้ตรวจสอบเครือข่ายตรวจจับการบุกรุกและการจัดการเครือข่าย สำหรับการจัดการเข้าสู่การแก้ปัญหาจากผู้ขายเช่น SenSage และอื่น ๆ เป็นทางเลือกสำหรับหน่วยงานราชการและสูงควบคุมอุตสาหกรรม

แบ่งแยกหน้าที่

เมื่อคุณมีฟังก์ชันที่เกี่ยวข้องกับเงินทั้งขาเข้าหรือส่งออกสำคัญมากเพื่อให้แน่ใจว่าหน้าที่จะแยกเพื่อลดและหวังป้องกันการโกง วิธีหนึ่งที่สำคัญเพื่อให้เหมาะสมแยกหน้าที่ (สด) จากมุมมองที่เป็นระบบตรวจสอบการอนุญาตให้เข้าถึงบุคคล' ระบบบางอย่างเช่น SAP อ้างมาพร้อมกับความสามารถในการดำเนินการทดสอบสด แต่การทำงานให้เป็นประถมต้องค้นหาเสียเวลามากที่จะสร้างและ จำกัด ระดับรายการเท่านั้นที่มีการใช้น้อยหรือไม่มีวัตถุหรือข้อมูลค่า กำหนดให้ผู้ใช้ผ่านการทำธุรกรรมที่มักเข้าใจผิดผลการผลิต สำหรับระบบที่ซับซ้อนเช่น SAP ก็มักจะต้องการใช้เครื่องมือพัฒนาพิเศษเพื่อประเมินและวิเคราะห์ความขัดแย้งสดและประเภทอื่น ๆ กิจกรรมระบบ สำหรับระบบอื่น ๆ หรือระบบหลายรูปแบบที่คุณควรตรวจสอบผู้ใช้ที่สามารถเข้าถึงผู้ใช้ super ระบบให้พวกเขาเข้าไม่ จำกัด ทุกด้านของระบบ นอกจากนี้การพัฒนา matrix สำหรับฟังก์ชันทั้งหมดเน้นจุดที่แยกเหมาะสมของหน้าที่ถูกละเมิดจะช่วยหาจุดอ่อนวัสดุที่อาจเกิดขึ้นโดยการข้ามเข้าใช้บริการของพนักงานแต่ละคน นี้เป็นสิ่งสำคัญหากไม่ดังนั้นในฟังก์ชันการพัฒนาตามที่ผลิต มั่นใจว่าผู้พัฒนาโปรแกรมไม่ได้คนที่มีสิทธิ์ดึงลงในการผลิตคือกุญแจสำคัญในการป้องกันโปรแกรมที่ไม่ได้รับอนุญาตในระบบการผลิตที่พวกเขาสามารถใช้เพื่อกระทำผิดฉ้อโกง

สรุป

โดยและขนาดใหญ่สองแนวคิดของการรักษาความปลอดภัยของโปรแกรมประยุกต์และแยกหน้าที่ทั้งในหลายเชื่อมต่อและพวกเขาทั้งสองมีเป้าหมายเดียวกันเพื่อป้องกันความสมบูรณ์ของข้อมูล บริษัท ที่'และการป้องกันการโกง เพื่อความปลอดภัยโปรแกรมประยุกต์ได้จะทำอย่างไรกับการป้องกันการเข้าถึงฮาร์ดแวร์และซอฟต์แวร์โดยมีมาตรการรักษาความปลอดภัยที่เหมาะสมทั้งทางกายภาพและทางอิเล็กทรอนิกส์ในสถานที่ ด้วยการแยกหน้าที่เป็นหลักพิจารณาทางกายภาพของการเข้าถึงบุคคล'ระบบและการประมวลผลและตรวจสอบว่ามีไม่มีการทับซ้อนที่อาจนำไปสู่การฉ้อโกง