قانون ساکس
مدیریت اطلاعات امنیتی: بنیادی که مطلوبیت ساکس را ممکن می‌سازد

امروزه، پروسه‌های گزارشِ مالی اکثر سازمان‌ها توسط سیستم‌های آی تی راه اندازی می‌شوند. گرچه قوانین و مقررات فدرال تکنولوژیهای بخصوصی راکه یک کمپانی باید بخدمت بگیرد تا محظورات مطلوبیت ساکس را برآورده سازد، جبرا تعیین نمی‌کنند، بوضوح آی تی نقش حساسی در مطلوبیت و مخصوصاً در کنترل داخلی بازی می‌کند. بورد (هیئت) سرکشی بر حسابداری شرکت‌های سهامی عام (The Public Company Accounting Oversight Board)، که یک شرکت غیرانتفاعی بخش خصوصی، ایجاد شده بواسطهٔ ساکس برای مباشرت ممیزان شرکت‌های سهامی عام است، خاطرنشان می‌کند:
«طبیعت و خصوصیات استفادهٔ یک شرکت از آی تی در سیستم اطلاعاتی اش بر کنترل داخلی آن شرکت نسبت به گزارش دهی مالی تأثیر می‌گذارد.»
یک رویکرد جامع و مخصوص برای تطابق مطلوبیت با ملزومات ساکس باید با بکارگیری راه حل صحیح SIM آغاز گردد- راه حلی که دیده بانی در زمانِ حقیقی و گزارش دهی تاریخی و در حال تکوین را ممکن سازد. اما تکنولوژی بتنهایی پاسخ نیست. یک اقدام جامع و کامل که سرمایه‌های موجود را – شامل پرسنل، پروسه‌ها، و سیاستها- با تکنولوژی یکسان‌سازی کند ماندگارترین ابزار برای نایل شدن موفقیت‌آمیز به مطلوبیت ساکس می‌باشد.
در نظر گرفتنِ مسوولیت‌های پی آیند به منظور تثبیتِ کوشش در مدیریت خطر امنیتی اطلاعات، به سازمان‌ها کمک می‌کند تا ملزومات ساکس را، همانند ملزومات دیگر قوانین و مقررات امنیتی و محرمانه پوشش دهند:
ِ تعریف کردن یک برنامه یِ مدیریت امنیتِ مشتق از سیاست که می‌توان در مورد آن به وحدت نظر رسید، در پروسه‌های تجاری – پرسنل و کنترلهای تکنولوژیک مورد نیاز برای انجام عملیات امنیتی سازمان را مشخص کرده و از مطلوبیت ساکس اطمینان حاصل کنید. همچنین، اطمینان حاصل کنید که تمهیدات امنیتی با پروسه‌های تجاری ترجیحاً در همان آغاز متحد شده‌اند و نه پس از آن..
کنترلهای امنیتی راتنفیذ کنید – در مورد فعالیت‌ها و تصمیمهای انسانی، کنترلهای پروسه، و کنترلهای فناوری اطلاعات، برای دیده بانی و گزارش کنترلها آمادگی حاصل کنید.
پیاده‌سازی راه-کار بسوی امنیت اطلاعات بر اساس مدیریت خطر –دیده بانی فعالِ خطر را آنگونه که توسط نمایشگرهای کلیدی کنترل (KCIs) و نمایشگرهای کلیدی ریسک (KRIs) تعریف و اندازه‌گیری می‌شود، همبسته کردنِ ارزش نسبی دارایی‌های اطلاعات، تهدیدات متوجه قابلیت اطمینان، یکپارچگی، و در دسترس بودن دارایی‌ها، و آسیب‌پذیری ِ سیستم‌ها و معماری ای را که دارایی‌ها را ذخیره و حمل می‌کنند، در نظر گیرید.
نمایش دادن جدیت مقتضی دربرنامه کاربردی کنترل داخلی – از طریق ضبط کردن تمام حوادث امنیتی از تمام هاست (میزبان)های شبکه، دستگاه‌ها، و دارایی‌ها در یک پایگاه دادهٔ قابل ممیزی کردن، بین زیرساخت امنیتی و «سیاست» پیوند ایجاد کنید.
ساختن و پیاده‌سازی پروسهٔ مؤثر مدیریتی امنیت-رویداد (رویدادِ امنیتی) – نشان دهید که گامهای صحیح برای تصحیح سیستم‌ها برداشته شده و تنظیم سیاست نمایید، اگر یک موقعیت نا مطلوبیت مشاهده شود.
فعال کنید گزارشهایی را که می‌تواند به نشان دادن مطلوبیت کمک کند – امنیت مدام در حال پیشرفتِ داراییهای مرتبط با مطلوبیت دریک بازهٔ زمانی، بازسازی وضع امنیتیِ سازمان در هنگام وقوعِ یک ممیزی، و فعال کردنِ مدیریت کارایی امنیت مقابل معیارهایی که می‌توانند برای تمهیدات و ابتکارات نظارت بر شرکت‌ها تقویت شوند: همه اینها را نشان دهید.
ایجادِ قابلیت‌هایی برای آرشیو کردن و صیانتِ داده- حفظِ دادهٔ کوتاه مدت و بلند مدت در بیغش‌ترین شکل برای ارایهٔ شواهد و مدارک قا نونی و استفاده از تکنیک‌های دادگاهی و وکالتی. (forensics and evidentiary presentation)
با پیاده‌سازی سیاست‌های مؤثر جامع و مانع و روالهایی برای دایر کردن جوابگویی و عملیات گزارش دهی سازگار، سازمان‌ها می‌توانند به‌طور موفقیت‌آمیزی با رهنمودهای تنظیم مطلوبیت ساکس تطابق یابند.