Правило связано с настройкой и кодом
Проверка останавливается, если опубликованная матрица расходится с действующими правилами.
Технические контроли и внутренний аудит
По каждому требованию политики видны настройки, связанный код, результаты проверок, исключения и ответственные.
СитуацияПроблема команды
ДействияТри шага работы
РезультатЧто получает пользователь
МетрикиЧто измеряется на пилоте
Ситуация
Аудитору и владельцу контроля нужно понять, где требование реализовано, как оно проверялось и какие исключения остаются открытыми.
Как проходит работа
- 1Зафиксировать контрольСвязать требование политики с областью, владельцем и ожидаемым результатом.
- 2Проверить реализациюСопоставить контроль с настройками, кодом, секретами, журналами и результатами проверок.
- 3Собрать историю решенийПоказать исполнителя, действие, причину, результат, исключение и срок пересмотра.
Результат
Остановка при неполных данных
Проверка останавливается без области действия, прав, правила или обязательного результата.
Меньше ручного сбора
По требованию доступны настройка, код, результат теста и история решений.
Метрики и ответственные
- Доля контролей со свежим результатом проверки
- Число расхождений между политикой и отображением
- Время подготовки материалов внутреннего аудита
- Возраст открытых исключений
Владелец контроля оценивает достаточность материалов и принимает исключения. Независимый аудитор или орган оценки определяет соответствие стандарту.
Разобрать технический контроль
На встрече разберём одно требование политики, настройку, результат теста и исключение.