Bir güvenlik kontrolünün satın alınmış olması ile etkin çalışması farklı kanıtlar gerektirir. Aşağıdaki değerlendirme soruları, risk kararlarından operasyon kayıtlarına kadar izlenebilirliği ele alır.
Örnek bir riski seçip kabul veya işleme kararına, seçilen kontrollere, sorumluya ve uygulama kanıtına kadar izleyin. Bildirimde uygulanıyor görünen kontrolün plan üzerinde hâlâ beklemede olması açıklanmalıdır. Aynı şekilde önemli bir riskin hiçbir işleme veya kabul kaydına bağlanmaması boşluk oluşturur. Belgelerin tarihleri ve onayları gerçek uygulama durumunu temsil etmelidir.
Raporun hizmet, dönem ve lokasyon kapsamını sözleşmenizdeki hizmetle karşılaştırın. Müşterinin uygulaması gereken tamamlayıcı kontrolleri ve raporun dışında kalan alt hizmetleri belirleyin. Sizin yapılandırma, erişim ve izleme kayıtlarınız ayrıca gerekir. Sağlayıcının genel pazarlama belgesi yerine kullanılan hizmeti gerçekten temsil eden güncel kanıt değerlendirilmelidir.
Örnek ayrılış kaydını personel bildirimi, kurumsal hesaplar, bulut uygulamaları, uzaktan erişim ve ayrıcalıklı yetkilerle eşleştirin. Ortak kullanılan parolalar ve API anahtarları da etkilenebilir. Yalnız e-posta hesabının kapanması bütün erişimlerin kaldırıldığını kanıtlamaz. Kapsamdaki sistem envanteri ile kapatma kaydı karşılaştırılmalı ve gecikmelerin etkisi değerlendirilmelidir.
Test, belirli tarih ve teknik kapsam için bulgu üretir. Personel farkındalığı, tedarikçi yönetimi, yedek geri dönüşü ve risk kabulü gibi konuları bütünüyle karşılamaz. Test kapsamı dışında kalan varlıklar ile testten sonra yapılan değişiklikler ayrıca ele alınır. Bulgu bulunmaması, sistemin her koşulda güvenli olduğu veya belgelendirme denetiminin tamamlandığı anlamına gelmez.
Gizlilik ve gerekli erişim sınırları planlama sırasında konuşulmalıdır. Maskelenmiş örnek, kontrollü ekran incelemesi veya erişimi kısıtlanmış kayıt gibi uygun yöntemler değerlendirilebilir. Ancak olay yönetiminin işletildiğini gösterecek kanıt bütünüyle yoksa etkinlik doğrulanamaz. Seçilen yöntem olayın zaman çizelgesini, kararları ve düzeltici faaliyeti değerlendirmeye yetecek bilgiyi korumalıdır.
Birleşen ağlar, kullanıcı dizinleri, tedarikçiler ve yönetim sorumlulukları birlikte değerlendirilir. Yeni tüzel kişilik veya hizmetin mevcut kapsamda bulunup bulunmadığı ayrıca belirlenir. Entegrasyon sürerken eski ve yeni kontrol düzenlerinin birlikte işletildiği geçiş riski görünür olmalıdır. Belgelendirme kuruluşu değişikliğin kapsam ve denetim ihtiyacını inceler; önceki belge yeni şirketi kendiliğinden kapsamaz.
QRS QUALITY · UZMAN İLETİŞİMİ
Faaliyetiniz, ürününüz, çalışan ve saha sayınız ile hedef tarihinizi paylaşın. QRS ekibi ihtiyacınızı değerlendirerek uygulanabilir süreci ve teklif kapsamını netleştirsin.
