قانون ساکس
قانون ساربینس-آکسلی سال ۲۰۰۲، همین‌طور مشهور به «اصلاح عمومی حسابداری شرکتها» و «قانون حفاظت از سرمایه‌گذار»، و عموماً به نام «ساکس» یا «سارب-اّکس»، یک قانون فدرال ایالات متحده در ارتباط با نظارت بر شرکت‌های سهامی و بی پرده گویی مالی است. پیش‌بینی‌ها و تدارکات ساکس، با ارایهٔ بزرگترین تغییر در قوانین فدرال در مورد سهام و اوراق بهادار طی دهه‌ها، بتفصیل مجازات جزایی و مدنی برای سرپیچی (عدم مطلوبیت)، گواهی ممیزی پنهانی داخلی، و گزافه گویی مالی را شرح می‌دهد.
این مصوبهٔ قانون‌گذاری دارای طیف گسترده‌ای ست، و استانده‌هایی تازه یا پیشرفته را برای تمام شرکت‌های سهامی عام آمریکایی، مؤسسات حسابداری عمومی، و مؤسسات عرضه‌کنندهٔ خدمات ممیزی، نیز کمپانی‌های غیر آمریکایی که آمریکا در آن حضور دارد، الزامی می‌کند. بخش‌هایی از ساکس که بیش‌ترین ارتباط را با حرفه‌ای‌های آی تی دارند شامل موارد پیرو می‌باشد: میانِ این بخش‌ها، سازمان‌های آی تی به‌طور گسترده‌ای تلاشهای مطلوبیت ساکس اشان را بر برآوردن ملزومات بخش ۴۰۴ متمرکز می‌کنند. گروه‌های آی تی با کار کردن در تشریک مساعی با مدیریت اجرایی، باید اطمینان حاصل کنند که یک چارچوب کنترل داخلی می‌تواند بحد کفایت ساختارهای کنترل داخلی و پروسه‌های گزارش دهی مالی را ارزیابی کند، تا بدین صورت داده‌های مالی حساس و حیاتی را محافظت و پشتیبانی کنند.
ساکس بتفصیل موارد قانونی ای برای شرکت‌های سهامی در نظر می‌گیرد، از آن جمله‌اند: یک هیئت سرکشی (برد اورسایت) برای حسابداری شرکت سهامی عام، استقلال ممیزی، پاسخگویی و مسوولیتِ (CEO/CFO) مدیر مالی و مدیر عامل، و پیشرفت در بی پرده گویی مالی. مخصوصاً، قانون ساکس تصدیق و تصریح می‌کند که شرکت‌های سهامی عام نیازمندِ سیستم‌های کنترل داخلی وسیع برای مدیریت کردن و گزارشِ داده‌های مالی، در محل می‌باشند، همان‌طور که دیده بانی و محافظتِ فعالیت‌های کاربر حول داده و حصول اطمینان از امنیت خودِ داده، نیز از ملزومات است. گرچه ساکس می‌تواند تأثیر مثبتی بر نظارت و تحکم بر شرکت‌های سهامی از طریق پیشبرد و اصلاح دقت و صحت و قابلیت اطمینانِ داده‌های مالی داشته باشد، مطلوبیت ساکس چالشهای عمده‌ای برای سازمان‌ها و مخصوصاً سازمان‌های آی تی تولید می‌کند. از آنجا که اکثر داده‌های مالی یک کمپانی روی سرورهای شبکه‌است، نیازمندیهای کنترل داخلی بعهدهٔ گروه‌های آی تی می‌افتد؛ لذا دپارتمان‌های آی تی باید اطلاعات مفصلی برای ممیزین داخلی و خارجی در مورد روالهای گزارش‌گیری مالی و ساختارهای کنترلی اشان تهیه کنند. مدیران شبکه (ادمین‌ها) لازم است بتواننداز قدرت تکنولوژی و ابزارهای موجود بهره ببرند تا کنترلهای دسترسی در سرتاسر تجارتخانه را مدیریت کرده و در موردشان گزارش دهی کنند و مدارک و شواهد ملموسِ کوششهای امنیتی شان را تهیه کنند. ساکس مسوولیت‌پذیری می‌طلبد و برای هر سازمان لازم می‌دارد تا شایستگی و مؤثر بودن کل شیوه‌شان را در برقراری امنیت اطلاعات بیازمایند. یک راه حل امنیت اطلاعات ی برای مؤثر بودن لازم است بتواند در هر نقطه از زمان نشان دهد که سیاست‌ها و حراستهای امنیتی در جای صحیح خود بوده و صحیح عمل می‌کنند. راه حل همچنان باید تضمین کند که تمام برنامه‌های کاربردی و پایگاه‌های داده‌ای که بر موقعیت مالی یک شرکت تأثیر می‌گذارند، امن هستند. حفاظت اطلاعات مالی وظیفهٔ پیچیده ایست که یک استراتژی گسترده می‌طلبد. سازمان‌ها با وظیفهٔ پیچیدهٔ نه تنها دستیابی به مطلوبیت ساکس – بل که مراقبت و نگهداری سال به سالِ آن مواجه‌اند. از دیدگاه نظارت بر امنیت، سازمان‌ها برای برآوردن {انتظارات قانون} ساکس، باید به‌طور فعال در موارد زیر مشارکت نمایند: هرچند هیچ محصول نرم‌افزاری بتنهایی نمی‌تواند تمامی مطلوبیت ساکس را ایجاد کند، تکنولوژی صحیح SIM می‌تواند به شرکت‌ها کمک کند تا کنترل‌های داخلی را مدیریت کنند. یک راه حل مدیریت امنیتی مؤثر برای شرکت‌های سهامی عام ابزارهای پیاده‌سازی، مراقبت و نگهداری، و گزارش در بابِ دستیابی داخلی و کنترل‌های امنیتی را با حد اقل استفادهٔ منابع فراهم می‌نماید.
امروزه، پروسه‌های گزارشِ مالی اکثر سازمان‌ها توسط سیستم‌های آی تی راه اندازی می‌شوند. گرچه قوانین و مقررات فدرال تکنولوژیهای بخصوصی راکه یک کمپانی باید بخدمت بگیرد تا محظورات مطلوبیت ساکس را برآورده سازد، جبرا تعیین نمی‌کنند، بوضوح آی تی نقش حساسی در مطلوبیت و مخصوصاً در کنترل داخلی بازی می‌کند. بورد (هیئت) سرکشی بر حسابداری شرکت‌های سهامی عام (The Public Company Accounting Oversight Board)، که یک شرکت غیرانتفاعی بخش خصوصی، ایجاد شده بواسطهٔ ساکس برای مباشرت ممیزان شرکت‌های سهامی عام است، خاطرنشان می‌کند: «طبیعت و خصوصیات استفادهٔ یک شرکت از آی تی در سیستم اطلاعاتی اش بر کنترل داخلی آن شرکت نسبت به گزارش دهی مالی تأثیر می‌گذارد.»
یک رویکرد جامع و مخصوص برای تطابق مطلوبیت با ملزومات ساکس باید با بکارگیری راه حل صحیح SIM آغاز گردد- راه حلی که دیده بانی در زمانِ حقیقی و گزارش دهی تاریخی و در حال تکوین را ممکن سازد. اما تکنولوژی بتنهایی پاسخ نیست. یک اقدام جامع و کامل که سرمایه‌های موجود را – شامل پرسنل، پروسه‌ها، و سیاستها- با تکنولوژی یکسان‌سازی کند ماندگارترین ابزار برای نایل شدن موفقیت‌آمیز به مطلوبیت ساکس می‌باشد. در نظر گرفتنِ مسوولیت‌های پی آیند به منظور تثبیتِ کوشش در مدیریت خطر امنیتی اطلاعات، به سازمان‌ها کمک می‌کند تا ملزومات ساکس را، همانند ملزومات دیگر قوانین و مقررات امنیتی و محرمانه پوشش دهند: با پیاده‌سازی سیاست‌های مؤثر جامع و مانع و روالهایی برای دایر کردن جوابگویی و عملیات گزارش دهی سازگار، سازمان‌ها می‌توانند به‌طور موفقیت‌آمیزی با رهنمودهای تنظیم مطلوبیت ساکس تطابق یابند.
شرکت آموزش حرفه (CEC)، در هافمن استیتس، ایلینِویس، وظیفهٔ مدیریت اطلاعات امنیتی در ۸۰ مدرسهٔ توزیع شده از نظر جغرافیایی را بر عهده دارد. تهیه‌کنندهٔ ۱٫۵ میلیارد دلاریِ آموزش پسا دبیرستانی نیاز داشت راه حلی امنیتی برای مدیریت آسیب‌پذیریها، اصلاح و پیشرفت وضعیت کلی امنیتی اش، و فراهم کردن دیده بانی امنیتی برای حصول اطمینان از مطلوبیت ساکس بیابد. CEC با موفقیت نرم‌افزار nFX OSP را، با همبسته کردن و یکسان‌سازی داده‌های امنیتی از انواع گسترده‌ای از دستگاه‌ها و برنامه‌های کاربردی سفارشی، نصب نمود. با استفادهٔ nFX OSP، هر مدرسه مجهز به پرتال‌های داده‌ای تصویری می‌گردد که جوابگویی برای تجزیه تحلیل و خود-گزارش‌گیری را ممکن می‌کند، در حالی که CEC قادر است به‌طور مرکزی عملیات امنیتی را با جمع‌آوری داده‌های مربوط به وقایع از دستگاه‌های امنیتی نا متجانس مدیریت کند. با تجزیه- تحلیل‌های مبتنی بر ریسک، دیده بانی ریل تایم، و گزارش دهی جامع و کامل، CEC می‌تواند ملزومات ممیزی ساکس را برآورده کند.
نتفورسیکس یک استراتزی کارامد برای آزمودن کفایت و مؤثر بودن سیاستها، روال‌ها، و عملیات امنیت اطلاعات را ممکن می‌سازد.nFX OSP جمع‌آوری و مرتبط‌سازی حجم‌ها کلانِ داده ایجاد شده با ابتکارهای امنیتی {مختلف}را اتوماتیزه می‌کند. این پایگاه همچنین ارزیابی‌های دوره‌ای ریسک و درجهٔ خسارت و صدمه‌ای که ممکن است در اثر دسترسی به، تغییر، یا از بین بردن اطلاعات توسط افراد غیرمجاز و بدون تنفیذ به این اطلاعات و سیستم‌های اطلاعاتی که عملیات و داراییهای سازمان را پشتیبانی می‌کنند، نتیجه شود، فراهم می‌کند؛ همان‌طور که برای ساکس لازم است. به‌طور مخصوص تر، nFX OSP برای سازمان‌ها ابزارها و فناوریهای زیر را برای تطابق یافتن با ملزومات ساکس فراهم می‌آورد: با بکار بردن این ابزارها، سازمان‌های آی تی می‌توانند به‌طور مؤثری امنیت اطلاعات را مدیریت کنند، و نتیجتاً مطلوبیت ساکس را بنمایش بگذارند...
ملزومات ساکس برای سازمان‌ها نیاز به پیشبرد امنیت سیستم‌های آی تی، برنامه‌های کاربردی و داده‌ها را افزایش داده‌است. ساکس مستلزم بکار بردن بهترین عملیات‌های اطلاعاتی امنیتی برای مطابقت با اهداف زیادی در ارتباط با نظارت بر شرکت‌های سهامی و افشا ی مالی از جمله پاسخ گویی CEO/CFO (مدیر مالی / مدیر عامل)، اجازه و اختیار دسترسی به داده‌ها و پیش بِینی مطلوبیت بوده‌است. مدیریت اجرایی نیازمند کار نزدیک با سازمان‌های آی تی بر روی ارزیابی ریسک و پیاده‌سازی سیاست‌ها و عملیات امنیتی می‌باشد. روی هم رفته، یک برنامهٔ امنیتی که انسانها، سیاستها، پروسه، و تکنولوژی را به یک سیستم وارد می‌کند بهترین رویکرد جهت تطابق یافتن با قانون ساکس می‌باشد. یک راه حل SIM پیاده‌سازی شده مانند nFX OSP، در کنار تنظیم کردن انسان، پروسه، و کنترل‌های اطلاعاتی سازمان‌ها را قادر می‌سازد با اهداف ساکس تطابق یابند. سازمان‌ها می‌توانند با استفاده از ابزارها و تکنولوژی موجود، در مورد موقعیت و امنیت پروسه‌ها و اطلاعات مربوط به مالی شناسایی، ارزیابی، و گزارش دهی انجام دهند و می‌توانند شواهد عینیِ اقدامات امنیتی اطلاعاتی شان را تهیه نمایند.
SIM: Security Information Management SEC: Securities and Exchange Commission CEO: Chief Executive Officer CFO: Chief Financial Officer KRI: Key Risk Indicators KCI: Key Control Indicators CEC: Career Education Corporation OSP:Open Security Platform
Chairman William H. Donaldson, U.S. Securities and Exchange Commission. Remarks to the National Press Club. Washington, D.C. 30 Jul. 2003 http://www.sec.gov/news/speech/spch073003whd.htm