Основи аудиторського мислення

Що ви дізнаєтесь у Основи аудиторського мислення

• Визначати різницю між задекларованими політиками безпеки та фактичною поведінкою працівників під час аудиторської перевірки
• Оцінювати документацію контролю доступу на повноту, точність та відповідність організаційним стандартам
• Розпізнавати найпоширеніші аудиторські знахідки, що призводять до висновків про невідповідність у реальних перевірках
• Вести належні докази діяльності з безпеки, включаючи ревізії доступу та підтвердження ознайомлення з політиками
• Готувати чіткі, фактичні відповіді на запитання аудиторів, не розкриваючи зайвої інформації та не створюючи нових ризиків невідповідності

Основи аудиторського мислення — Кроки навчання

1. Звичайний день четверга

   Сьогодні четвер після обіду. Ви працюєте в компанії два роки і пишаєтеся своєю увагою до деталей.

2. Терміновий запит

   Від вашого керівника Девіда Чена надійшов новий електронний лист, позначений як терміновий. Тема рядка: «Терміново: платіж постачальника – потрібно сьогодні». Девід зазвичай дуже організований, тому терміновий запит в останню хвилину привертає увагу Аліси.

3. Перший інстинкт

   Перший інстинкт Аліси — негайно допомогти Девіду. Він її менеджер, прохання виглядає розумним, і вона не хоче відкладати важливий платіж. Але щось відчувається трохи не так. Перш ніж діяти, вона вирішує ретельніше обдумати прохання.

4. Аудиторське мислення

   Аудиторське мислення означає підходити до запитів зі здоровим скептицизмом. Аліса ставить собі три ключові запитання: 1. Чи є цей запит незвичним чи неочікуваним? 2. Чи обходить звичайні процедури? 3. Чи є тиск діяти швидко без перевірки?

5. Аналіз червоних прапорів

   Аліса уважніше вивчає електронний лист і виявляє кілька попереджувальних знаків.

6. Рішення перевірки

   Незважаючи на те, що електронний лист виглядає надісланим від Девіда, Аліса вирішує перевірити запит через інший канал. Це основний принцип мислення аудиту: завжди перевіряйте незвичні запити, використовуючи метод, окремий від початкового повідомлення.

7. Дзвінок для підтвердження

   Аліса бере телефон і дзвонить Девіду безпосередньо за номером, збереженим у її контактах, а не за номером, указаним у підозрілому електронному листі.

8. Перевірка окупається

   Девід підтверджує, що ніколи не надсилав цей електронний лист. Він вдячний, що Аліса подзвонила, щоб перевірити перед обробкою платежу. Електронна пошта була атакою Business Email Compromise (BEC) – зловмисник або підмінив електронну адресу Девіда, або на короткий час отримав доступ до його облікового запису.

9. Повідомлення про інцидент

   Девід просить Алісу повідомити про спробу атаки IT Security через портал звітів про інциденти компанії. Швидке звітування допомагає команді безпеки розслідувати та захищати інших від подібних атак.

10. Подання Звіту

    Аліса заповнює звіт про інцидент із детальною інформацією про підозрілу електронну пошту, включаючи позначені нею червоні прапорці та кроки перевірки, які вона вжила.