Fieldwork, Findings and Compensatin

Fieldwork, Findings and Compensating Controls

Audit fieldwork is the process of identifying the people, process, and technology within a given systems environment that correspond to expected control activities. Management accountable for audit results should do their best to ensure that an auditor is always speaking with the expert in the area under review. They should caution personnel not to make guesses in responses to audit questions, but instead to refer the auditor to the appropriate subject matter expert, or back to the accountable management contact.

As every security professional knows, it is extremely difficult to keep abreast of all the new management tools and techniques required to control IT, much less to determine which is the best fit to meet a given control objective. In recognition of this difficulty, audit programs are usually quite well established and uncontroversial. They are stated in general terms and can be supported with a wide variety of technology tools and techniques.

YOU MIGHT ALSO LIKE
ios threats
Top 6 threats to iOS devices
phishing
The human OS: Overdue for a social engineering patch
androidusb primary
The BadUSB exploit is deadly, but few may be hit
Where auditors cannot find evidence that a control objective is met, they will circle back to the accountable manager to see if there is some activity with the organization that qualifies as meeting the objective which was not anticipated by the auditor, due to inexperience or unfamiliarity with the control environment. If they find it, they may refer to it as a "compensating control." This allows them to conclude that the control objective is met even though the control activity they expected does not exist, because the newly found activity compensates for the lack of the expected one.

In the event that an auditor can find no evidence corresponding to a given control objective, this issue will be labeled as a finding. A documented audit finding should have four or five parts. These are:

Condition: a factual description of audit evidenceCriteria: some standard that indicates why the condition impairs management ability to achieve control objectivesCause: the root cause of the situation that introduced the control weaknessEffect: the risk that the condition presents to the audited organization, stated in terms of potential business impactRecommendation: an appropriate management response (optional)

At any given point during the fieldwork, an auditor will have a list of potential findings. They may not yet be fully documented, but the condition may be known. The IT management contact for the audit should frequently touch base with the auditor during the fieldwork, and ask whether there are any potential findings. It is the role of the IT contact to assist both management and the auditor in the quest for evidence that would provide assurance that the control objective is met, and thus eliminate the finding.

ผลลัพธ์ (ไทย) 1:

สามารถ ค้นพบ และควบคุมการชดเชยสามารถตรวจสอบเป็นกระบวนการระบุคน กระบวนการ และเทคโนโลยีในสภาพแวดล้อมของระบบที่กำหนดที่สอดคล้องกับกิจกรรมการควบคุมที่คาดไว้ จัดการรับผิดชอบผลการตรวจสอบควรทำอย่างไรดีที่สุดเพื่อให้แน่ใจว่า สอบเสมอพูดกับผู้เชี่ยวชาญในพื้นที่ภายใต้การตรวจสอบ พวกเขาควร caution บุคลากรไม่ต้องการจากการทายในการตอบสนองการตรวจสอบคำถาม แต่แทน ถึงผู้ตรวจสอบกับผู้เชี่ยวชาญเรื่องที่เหมาะสม หรือกลับไป จัดการรับผิดชอบติดต่อเป็นมืออาชีพทุกความปลอดภัยรู้ มันเป็นเรื่องยากมากที่ทำให้ทันเครื่องมือใหม่การจัดการและเทคนิคที่จำเป็นในการควบคุมทั้งหมด มากน้อยกำหนดซึ่งเป็นส่วนที่เหมาะสมเพื่อตอบสนองวัตถุประสงค์การกำหนดควบคุม รับปัญหานี้ โปรแกรมตรวจสอบมักค่อนข้างดีขึ้น และ uncontroversial พวกเขาระบุไว้ในเงื่อนไขทั่วไป และได้รับการสนับสนุน ด้วยเครื่องมือเทคโนโลยีและเทคนิคที่หลากหลายคุณอาจสนใจคุกคาม iosภัยคุกคามด้านบน 6 อุปกรณ์ iOSฟิชชิ่งระบบปฏิบัติการมนุษย์: เลยสำหรับแพทช์วิศวกรรมสังคมหลัก androidusbโกง BadUSB เป็นอันตราย แต่น้อยอาจตีซึ่งผู้ตรวจสอบไม่พบหลักฐานว่า เป็นไปตามวัตถุประสงค์การควบคุม พวกเขาจะวงกลมกลับไปยังผู้จัดการที่รับผิดชอบเพื่อดูว่า มีบางกิจกรรมองค์กรที่คุณสมบัติเป็นวัตถุประสงค์ที่ถูกคาดการณ์ไว้ โดยผู้สอบบัญชี จาก inexperience หรือ unfamiliarity กับสภาพแวดล้อมการควบคุม ถ้าพวกเขาพบมัน พวกเขาอาจหมายถึงมันเป็นตัว "compensating ควบคุม" นี้ช่วยให้พวกเขาสรุปว่า วัตถุประสงค์การควบคุมเป็นไปตามแม้ไม่มีกิจกรรมควบคุมที่พวกเขาคาดว่า เนื่องจากกิจกรรมพบใหม่ชดเชยการขาดของที่คาดไว้ในกรณีที่สอบสามารถค้นหาหลักฐานไม่ตรงกับวัตถุประสงค์การควบคุมกำหนด ปัญหานี้จะมีชื่อเป็นการค้นหา ค้นหาการตรวจสอบเอกสารควรมีสี่ หรือห้าส่วน ได้แก่:เงื่อนไข: ที่จริงคำอธิบายของ evidenceCriteria ตรวจสอบ: มาตรฐานบางอย่างว่าทำไมเงื่อนไขแตกสามารถจัดการเพื่อให้บรรลุการควบคุม objectivesCause: รากสาเหตุของสถานการณ์ที่นำ weaknessEffect ควบคุม: ความเสี่ยงที่แสดงเงื่อนไขที่องค์กรตรวจสอบ ระบุในแง่ของศักยภาพธุรกิจ impactRecommendation: การตอบสนองการจัดการที่เหมาะสม (ถ้ามี)เมื่อใดก็กำหนดระหว่างสามารถ สอบจะมีรายการของผลการวิจัยที่มีศักยภาพ พวกเขาอาจไม่ได้เป็นเต็มเอกสาร แต่เงื่อนไขอาจจะทราบ ติดต่อจัดการ IT สำหรับการตรวจสอบควรบ่อย ๆ สัมผัสพื้นฐานกับผู้ตรวจสอบระหว่างสามารถ และถามว่า มีการค้นพบศักยภาพการ บทบาทของผู้ติดต่อได้เพื่อช่วยให้ผู้บริหารและผู้สอบบัญชีในการแสวงหาพยานหลักฐานที่จะให้การรับรองว่า เป็นไปตามวัตถุประสงค์การควบคุม และกำจัดดังนั้น การค้นหา ได้

ผลลัพธ์ (ไทย) 2:

งานภาคสนาม, การค้นพบและการควบคุมการชดเชยภาคสนามตรวจสอบเป็นกระบวนการของการระบุคนกระบวนการและเทคโนโลยีที่อยู่ในสภาพแวดล้อมที่ระบบกำหนดว่าสอดคล้องกับคาดว่ากิจกรรมการควบคุม การบริหารจัดการความรับผิดชอบต่อผลการตรวจสอบควรจะทำอย่างดีที่สุดเพื่อให้แน่ใจว่าผู้สอบบัญชีมักจะพูดกับผู้เชี่ยวชาญในพื้นที่ที่อยู่ภายใต้การตรวจสอบ พวกเขาควรจะเตือนคนที่จะไม่ให้คาดเดาในการตอบสนองการตรวจสอบคำถาม แต่แทนที่จะเรียกผู้สอบบัญชีที่มีความเชี่ยวชาญในเรื่องที่เหมาะสมหรือกลับไปติดต่อการจัดการความรับผิดชอบในฐานะที่การรักษาความปลอดภัยมืออาชีพทุกรู้ว่ามันเป็นเรื่องยากมากที่จะให้ทันทั้งหมด เครื่องมือการจัดการและเทคนิคใหม่ที่จำเป็นในการควบคุมมันน้อยมากที่จะตรวจสอบซึ่งเป็นแบบที่ดีที่สุดเพื่อตอบสนองวัตถุประสงค์การควบคุมที่กำหนด ในการรับรู้ของความยากลำบากนี้โปรแกรมการตรวจสอบมักจะจัดตั้งขึ้นค่อนข้างดีและไม่มีปัญหา พวกเขาจะระบุไว้ในข้อตกลงและได้รับการสนับสนุนที่มีความหลากหลายของเครื่องมือเทคโนโลยีและเทคนิคที่คุณอาจยังต้องการการคุกคาม iOS 6 ยอดภัยคุกคามให้กับอุปกรณ์ iOS ของฟิชชิ่งOS มนุษย์ค้างชำระสำหรับแพทช์วิศวกรรมสังคมandroidusb หลักBadUSB ใช้ประโยชน์เป็นอันตรายถึงตายได้ แต่น้อยอาจได้รับผลกระทบในกรณีที่ผู้สอบบัญชีไม่สามารถหาหลักฐานที่แสดงว่าวัตถุประสงค์การควบคุมจะพบพวกเขาจะวนเวียนกลับไปที่ผู้จัดการรับผิดชอบเพื่อดูว่ามีกิจกรรมกับองค์กรที่มีคุณสมบัติเป็นประชุมวัตถุประสงค์ที่ไม่ได้คาดการณ์ไว้โดยผู้สอบบัญชีบาง อันเนื่องมาจากความไม่รู้หรือไม่คุ้นเคยกับสภาพแวดล้อมการควบคุม ถ้าพวกเขาพบว่าพวกเขาอาจจะเรียกมันว่า "การควบคุมชดเชย." นี้จะช่วยให้พวกเขาที่จะสรุปได้ว่าวัตถุประสงค์การควบคุมจะพบแม้ว่ากิจกรรมการควบคุมที่พวกเขาคาดว่าไม่อยู่เพราะกิจกรรมพบใหม่ชดเชยการขาดการที่คาดว่าจะเป็นหนึ่งในกรณีที่ผู้สอบบัญชีสามารถหาหลักฐานที่สอดคล้องกับที่กำหนดไม่ วัตถุประสงค์การควบคุมปัญหานี้จะได้รับการระบุว่าเป็นการค้นพบ ผลการตรวจสอบเอกสารที่ควรจะมีสี่หรือห้าส่วน เหล่านี้คือ: สภาพ: คำอธิบายความจริงของ evidenceCriteria การตรวจสอบมาตรฐานบางอย่างที่แสดงให้เห็นว่าทำไมสภาพบั่นทอนความสามารถในการบริหารจัดการเพื่อให้บรรลุ objectivesCause ควบคุมสาเหตุของสถานการณ์ที่นำ weaknessEffect การควบคุมความเสี่ยงว่าเงื่อนไขที่จะนำเสนอการตรวจสอบองค์กร, ที่ระบุไว้ในแง่ของ impactRecommendation ธุรกิจที่มีศักยภาพ: การตอบสนองต่อการจัดการที่เหมาะสม (ถ้ามี) ณ จุดใด ๆ ในระหว่างงานภาคสนาม, ผู้สอบบัญชีจะมีรายชื่อของผลการวิจัยที่มีศักยภาพ พวกเขาอาจจะยังไม่ได้รับการรับรองอย่างเต็มที่ แต่สภาพที่อาจจะรู้จักกัน ติดต่อการจัดการไอทีสำหรับการตรวจสอบบ่อยครั้งควรสัมผัสฐานกับผู้สอบบัญชีในภาคสนามและถามว่ามีการค้นพบที่อาจเกิดขึ้น มันเป็นบทบาทของไอทีในการติดต่อให้ความช่วยเหลือทั้งผู้บริหารและผู้สอบบัญชีในการแสวงหาพยานหลักฐานที่จะให้ความมั่นใจว่าวัตถุประสงค์การควบคุมจะพบและทำให้ลดการค้นพบ

ผลลัพธ์ (ไทย) 3:

การค้นพบและการชดเชย , การควบคุม

ตรวจสอบภาคสนาม คือ กระบวนการของการระบุคน กระบวนการ และเทคโนโลยีภายในให้ระบบสิ่งแวดล้อมที่สอดคล้องกับกิจกรรมการควบคุมไว้ การจัดการรับผิดชอบผลตรวจสอบควรทำของพวกเขาที่ดีที่สุดเพื่อให้แน่ใจว่า ผู้สอบบัญชีมักพูดกับผู้เชี่ยวชาญในพื้นที่ภายใต้การทบทวนพวกเขาควรจะระมัดระวังบุคลากรไม่ให้คาดเดาในการตอบสนองต่อการตรวจสอบคำถาม แต่แทนที่จะอ้างถึงผู้สอบบัญชีกับเนื้อหาที่เหมาะสม ผู้เชี่ยวชาญ หรือกลับไปติดต่อการจัดการความรับผิดชอบ

เป็นทุกการรักษาความปลอดภัยมืออาชีพรู้ มันยากมากเพื่อให้ทันกับทุกใหม่การจัดการเครื่องมือและเทคนิคที่จำเป็นเพื่อควบคุมมันน้อยมากที่จะตรวจสอบซึ่งเป็นพอดีกับที่ดีที่สุดเพื่อตอบสนองให้ควบคุมวัตถุประสงค์ ในการรับรู้ของปัญหานี้ , โปรแกรมการตรวจสอบมักจะได้ดีขึ้น และ uncontroversial . พวกเขาจะระบุไว้ในข้อตกลง และสามารถรองรับความหลากหลายของเครื่องมือเทคโนโลยีและเทคนิค นอกจากนี้คุณยังอาจชอบ



สุดยอด 6 iOS คุกคามภัยคุกคามอุปกรณ์ iOS

OS ของมนุษย์ : ฟิชชิ่งเกินจากวิศวกรรมทางสังคมที่แพท

androidusb หลัก badusb หาประโยชน์ร้ายแรง แต่บางคนอาจจะกด
ที่ผู้สอบบัญชีไม่สามารถหาหลักฐานที่ควบคุมวัตถุประสงค์พบ , พวกเขาจะกลับมากับผู้จัดการที่รับผิดชอบเพื่อดูว่า มีบางกิจกรรมที่เหมาะกับองค์กรการประชุมวัตถุประสงค์ที่ไม่ได้คาดการณ์ไว้ โดย ผู้สอบบัญชีเนื่องจากการขาดประสบการณ์ หรือ ความไม่คุ้นเคยกับสภาพแวดล้อมการควบคุม ถ้าพวกเขาเจอ พวกเขาอาจจะอ้างถึงมันเป็น " ชดเชยการควบคุม . " นี้จะช่วยให้พวกเขาที่จะสรุปได้ว่าวัตถุประสงค์ของการควบคุม เจอแม้ว่าการควบคุมกิจกรรมที่พวกเขาคาดหวังไม่ได้อยู่เพราะเพิ่งพบกิจกรรมชดเชยการขาดของคาดหนึ่ง

ในกรณีที่ผู้สอบบัญชีสามารถพบหลักฐานที่สอดคล้องกันเพื่อให้ควบคุมวัตถุประสงค์ ปัญหานี้จะถูกระบุว่าเป็น การค้นหา เอกสารตรวจสอบหาน่าจะสี่หรือห้าส่วน เหล่านี้คือ : ภาพ

: รายละเอียดข้อเท็จจริง evidencecriteria ตรวจสอบมาตรฐานที่บ่งชี้ถึงภาวะบกพร่องความสามารถในการจัดการเพื่อให้บรรลุ objectivescause ควบคุม :สาเหตุของสถานการณ์ที่แนะนำ weaknesseffect ควบคุมความเสี่ยงที่เงื่อนไขแสดงให้องค์กรตรวจสอบ กล่าวว่า ในแง่ของ impactrecommendation ธุรกิจที่มีศักยภาพ : การตอบสนองการจัดการที่เหมาะสม ( ถ้ามี )

ณจุดในระหว่างภาคสนาม , ผู้สอบบัญชีจะมีรายการของข้อมูลที่อาจเกิดขึ้น พวกเขาอาจไม่ได้มีเอกสารครบแต่สภาพอาจจะรู้จัก มันการจัดการที่ติดต่อสำหรับการตรวจสอบบ่อยควรติดต่อกับผู้สอบบัญชีในงานสนาม และถามว่ามีข้อมูลใด ๆที่อาจเกิดขึ้น มันเป็นหน้าที่ของมันติดต่อให้ความช่วยเหลือทั้งการบริหารและผู้สอบบัญชีในการแสวงหาหลักฐานที่จะให้ประกันว่าวัตถุประสงค์ของการควบคุม เจอกัน และจึงกำจัดหา