رتبها

التدقيق الداخلي السيبراني (cyber internal audit)
التدقيق الداخلي يساعد المؤسسة في إدارة التهديدات السيبرانية، من خلال تقديم تقييم مستقل للحوكمة وادارة المخاطر والرقابة ، ومساعدة لجنة التدقيق ومجلس الإدارة على فهم ومعالجة المخاطر المتنوعة للعالم الرقمي.

تدقيق الأمن السيبراني Cybersecurity Audit
يتضمن تحليلًا شاملاً ومراجعة للبنية التحتية لتكنولوجيا المعلومات. يكتشف نقاط الضعف والتهديدات ، ويظهر الروابط الضعيفة ، والممارسات عالية الخطورة. إنها طريقة أساسية لفحص الامتثال.

•الاتجاه الجديد هو تحويل من امتثال الى أن تكون عملية مبنية على المخاطر.
ذكرت (Deloitte ) ١٠ اتجاهات جديدة في المراجعة الداخلية احدها التدقيق الداخلي السيبراني :

مع زيادة الأهمية الاستراتيجية والمخاطر والفرص المتعلقة بالامن السيبراني ، يحتاج التدقيق الداخلي إلى التكيف إذا كان سيواصل تقديم قيمة للمؤسسة. وهذا يستلزم التحول من نهج تكنولوجيا المعلومات والامتثال إلى نهج قائم على المخاطر أكثر في التعامل مع الإنترنت.

في اتجاه التدقيق الداخلي هذا ، تجد معظم مجموعات التدقيق الداخلي صعوبة في تغطية جميع المشكلات الإلكترونية ، ويرجع ذلك أساسًا إلى نقص الموارد وعمق المهارات.
على الرغم من ذلك ، لا يمكن للتدقيق الداخلي تجاهل المخاطر الإلكترونية نظرًا لأهميتها.

تتخلل المسؤولية عن الأمن السيبراني جميع وحدات ووظائف الأعمال ، مما يعني أن الحوكمة ذات الصلة يجب أن تمتد عبر المنظمة ويجب إشراك جميع خطوط الدفاع الثلاثة - وتوضيح أدوارها ومسؤولياتها.

ابدأ بتقييم حوكمة الأمن السيبراني لأن الحوكمة تحدد الإطار الكامل والنبرة لبرنامج الأمن السيبراني ولتفعيل الأمن السيبراني. ثم انتقل إلى مجالات محددة تهم المنظمة ، مع مراعاة الأدوات والتدابير الموجودة بالفعل لمعالجة مخاطر معينة. قد تشمل هذه المجالات حماية البيانات ، وإدارة الهوية

والوصول ، والأمان السحابي ، ومراقبة المخاطر. وضع خطة تدقيق للأرباع والسنوات القادمة بناءً على تقييم المجالات وتصنيفها للمخاطر وتحديد نطاق كل تدقيق. قم بتقييم خطة التدقيق وتحديد النطاق سنويًا على الأقل للتأكد من استمرار ملاءمتها وسط القضايا الناشئة.

نطاق تدقيق الأمن السيبراني
تضمن عمليات تدقيق الأمن السيبراني إجراء تدقيق شامل بزاوية 360 درجة لمواقف أمان مؤسستك. يكتشف نقاط الضعف والمخاطر والتهديدات التي تواجهها المنظمات وتأثير هذه المخاطر التي تسببها عبر هذه المناطق.

* أمان البيانات - يتضمن مراجعة التحكم في الوصول إلى الشبكة ، واستخدام التشفير ، وأمن البيانات أثناء الراحة ، وعمليات الإرسال
* الأمن التشغيلي - يتضمن مراجعة السياسات والإجراءات والضوابط الأمنية

* أمان الشبكة - مراجعة ضوابط الشبكة والأمن ، SOC ، تكوينات مكافحة الفيروسات ، قدرات مراقبة الأمن ، إلخ.
* أمان النظام - تغطي هذه المراجعة عمليات التشديد، وعمليات التصحيح ، وإدارة الحسابات المميزة ، والوصول المستند إلى الدور ، وما إلى ذلك.

* الأمان المادي - مراجعة تغطي تشفير القرص، وعناصر التحكم في الوصول المستند إلى الأدوار ، والبيانات الحيوية ، والمصادقة متعددة العوامل ، وما إلى ذلك.

التدقيق الداخلي مقابل التدقيق الخارجي للأمن السيبراني
يتم إجراء عمليات تدقيق الأمن السيبراني بشكل عام بواسطة شركة خدمات الأمن السيبراني لإزالة أي خلاف. يمكن أيضًا إجراؤها مع مدققي الأمن الداخليين.

يتم إجراء عمليات تدقيق الأمن السيبراني الخارجية من قبل محترفين ذوي خبرة ومجهزين بالبرامج والأدوات المناسبة لإجراء تدقيق شامل. يمتلك المدققون فهمًا مناسبًا لجميع بروتوكولات الأمان بالإضافة إلى أنهم مدربون جيدًا لاكتشاف العيوب في إدارة مخاطر الأمن السيبراني.

الاستعانة بمصادر خارجية للتدقيق الأمني لشركة خدمات الأمن السيبراني له قيمة كبيرة ، على الرغم من أنه مكلف للغاية بالنسبة للشركات الصغيرة. للحصول على قيمة أفضل من تدقيق الأمان الخارجي ، يجب عليك العثور على شركة تدقيق مناسبة وبأسعار معقولة ، وتعيين توقعات للمراجعين

، وتقديم معلومات ذات صلة ودقيقة ، وتنفيذ التغييرات المقترحة.
على الرغم من فوائد عمليات التدقيق الخارجية ، تختار العديد من المؤسسات عمليات تدقيق الأمن السيبراني الداخلية نظرًا لتكلفتها وكفاءتها وسرعتها واتساقها.

يتم إجراء تدقيق الأمن الداخلي مع فريق داخلي ، ويمكن إجراؤه في كثير من الأحيان. علاوة على ذلك ، يتم تبسيط جمع المعلومات ذات الصلة وفرزها حيث لا تتم مشاركتها مع مقدم خدمات التدقيق.

كيف سيكون تدقيق الأمن السيبراني مفيدًا لعملك؟
يوفر تدقيق الأمن السيبراني أعلى مستوى من الضمان لعملية إدارة المخاطر الإلكترونية الخاصة بك. إنها تضيف مجال رؤية لتقييم وتعزيز إدارة الأمان الخاصة بك. الفوائد الكبيرة لعمليات تدقيق أمن تكنولوجيا المعلومات هي:

- تسليط الضوء على نقاط الضعف ومعالجتها
- يقدم تحليلاً متعمقًا لممارسات الأمان الداخلية والخارجية
- يحدد الثغرات في دفاعك
- يحدد ما إذا كان يجب تحسين وضعك الأمني أم لا
- يوصي بكيفية الاستفادة من التكنولوجيا في أمن الأعمال
- ضوابط الاختبار

- البقاء في المقدمة واستباق افعال مجرمي الإنترنت
- يحسن قيمة السمعة
- يقدم تأكيد للموظفين والعملاء والموردين
- زيادة أداء التكنولوجيا والأمان

أفضل 8 ممارسات لتدقيق الأمن السيبراني
إدارة الأمن السيبراني
إما أن تختار تدقيقًا داخليًا أو خارجيًا للأمان ؛ يجب أن تنظر في الخطوات التالية للتأكد من أنك تجري التدقيق بشكل صحيح.

1. ابدأ بتعريف تدقيق الأمن السيبراني الخاص بك
تتمثل المهمة الأولى في تدقيق الأمن السيبراني في تحديد نطاق تدقيقك. تحتاج إلى سرد كافة الأصول الخاصة بك مثل البيانات الحساسة وأجهزة الكمبيوتر. بمجرد إنشاء القائمة الطويلة ،

حدد محيط الأمان لتقسيم أصولك - الأصول التي ستحتاج إلى تدقيقها والأشياء التي لن تحتاج إلى تدقيقها. ضع قائمة مختصرة بأصولك الأكثر قيمة وركز 100٪ على تلك الأصول.

2. تبادل الموارد التي يحتاجون إليها
سيحتاج المدقق إلى الاتصال بخبير في الموضوع للحصول على رؤية كاملة لإدارة الأمن السيبراني لديك. قبل بدء التدقيق ، قدم نقطة الاتصال ؛ سوف يطلب منهم التحدث.

سيكون من الأفضل عقد اجتماع حيث يجب أن يظهر المدققون بالأدوات التي يحتاجونها للوصول إلى شبكتك. سيؤدي ذلك إلى تسهيل عملية التدقيق وتوفير الوقت.
بينما يقوم المدقق بإجراء مقابلات مع خبراء الموضوع الخاصين بك لفهم الأمان ، فسوف يفهم ما هي إدارات الأمن السيبراني الخاصة بك في المقام..

الأول. قم بتنظيم جميع المستندات المتعلقة بسياسات الأمن السيبراني الخاصة بك في مورد واحد سهل القراءة.
3. تدقيق معايير الامتثال ذات الصلة
قبل بدء تدقيق الأمان ، راجع متطلبات معايير الامتثال ، التي تنطبق على عملك وصناعتك ، وشاركها مع فريق التدقيق. يساعد فهم لوائح الامتثال على

مواءمة عمليات التدقيق مع متطلبات شركتك.
4. قم بتفصيل بنية الشبكة الخاصة بك
أحد الأهداف الرئيسية للتدقيق الأمني هو الكشف عن الثغرات الأمنية على شبكات المؤسسة. إن تزويد المدققين ببنية مفصلة لشبكتك يمنحهم نظرة عامة واسعة حول كيفية هيكلة البنية التحتية لتكنولوجيا المعلومات لديك

، مما يساعدهم على بدء عملية تقييم الثغرات الأمنية وتحديد الثغرات الأمنية والحواف. الهيكل التفصيلي للشبكة عبارة عن رسم تخطيطي يوضح نظرة عامة على الأصول الموجودة وكيفية ارتباطها وما هي الحماية القائمة بينها.
5. كشف وتسجيل المخاطر ونقاط الضعف
حدد جميع نقاط الضعف في نظامك

، والتي يمكن أن تؤثر على عملك. يتطلب ذلك فهم التقنيات والعمليات التجارية المتضمنة ومخاطر الامتثال لكل عملية والهجمات المحتملة والقوانين واللوائح التي تنطبق على عملك.

بمجرد فهم النطاق الكامل للمخاطر التي يواجهها عملك ، قم بتقييم إمكانية كل هجوم والدافع وراءه بالإضافة إلى مستوى التأثير.
6. تقييم أداء إدارة المخاطر السيبرانية الحالية
الآن بعد أن حصلت على قائمة بنقاط الضعف وتأثيراتها ، عليك التحقق مما إذا كان بإمكان شركتك الدفاع ضدها.

قم بتقييم أداء إجراءات الأمان الحالية ، والتي تتضمن تقييم أداء نفسك وقسمك وسياسات الأمان.
ربما تكون مجهزًا بأدوات فحص الثغرات الأمنية لمراقبة شبكتك ، ولكن هل القوى العاملة لديك مُحدثة على الأساليب الحالية التي يستخدمها المهاجمون لاختراق أنظمتك؟

هذه مرحلة يمكن فيها لشركة خدمات الأمن السيبراني إضافة المزيد من القيمة نظرًا لعدم وجود تفضيلات داخلية تؤثر على نتيجة تدقيق الأمن السيبراني.

7. إعطاء الأولوية للاستجابة للمخاطر
تتمثل الخطوة الأخيرة في تدقيق الأمن السيبراني في تحديد الطرق الممكنة للاستجابة للمخاطر الأمنية وتحديد أولويات أفضل الطرق التي تناسب عملك ومجال عملك. ركز أيضًا على المخاطر ،

التي من المرجح أن تسبب المزيد من الضرر لمؤسستك. لتحديد أولويات التهديدات ، قم بموازنة الضرر الناجم عن التهديد مقابل احتمال حدوثه بالفعل وحدد درجة المخاطر لكل منها.

8. ضمان عمليات المراجعة المنتظمة
تظهر باستمرار أنواع جديدة من المخاطر والهجمات السيبرانية. كم مرة تقوم بإجراء تدقيق الأمن السيبراني؟
يُقترح إجراء عمليات تدقيق أمنية متعمقة مرتين في السنة على الأقل. بناءً على حجم عملك ، يمكنك إجراء عمليات تدقيق ربع سنوية أو شهرية.

يمكنك إجراء عمليات تدقيق للأعمال ككل أو لكل قسم إذا كان يعطل بشدة سير العمل. تقوم معظم الشركات الناجحة بإجراء تدقيقات استباقية للأمن السيبراني بانتظام.

يجب على نشاط المراجعة الداخلية أن يبرر الحاجة لوجودة عن طريق إضافة قيمة ، أحد المجالات هي الامن السيبراني.
دمتم بخير
منقول ـ المصادر:
indusface.com
www2.deloitte.com
www2.deloitte.com

www2.deloitte.com/us/en/pages/ri…