EDUCATION, AUDIT, ASSURANCE

📋 Audita ceļvedis - starptautiskā prakse

Seši pamatjautājumi par auditu - kā tas notiek, kas par ko atbild un pēc kādiem standartiem strādā (ISO 19011, IIA, COBIT, SOC, NIST). Piemēri ir izdomāti, paredzēti apmācībām.

Audita dzīves cikls

ISO 19011:2018 - audita aktivitātes ar nepārtrauktas uzlabošanas cilpu

Audita process Pieci audita posmi: plānošana, sagatavošana, veikšana, ziņojums, sekošana - ar atgriezenisko cilpu. Audita process - ISO 19011:2018 Uz risku balstīta programma ar PDCA nepārtrauktas uzlabošanas cilpu 1. Plānošana audita programma (riskā balstīta) mērķi, apjoms 2. Sagatavošana dokumentu pārskats audita plāns kontrolsaraksti 3. Veikšana atklāšanas sanāksme pierādījumi, intervijas atradumi 4. Ziņojums secinājumi atzinums noslēguma sanāksme 5. Sekošana korektīvās darbības verifikācija slēgšana ⇢ nepārtraukta uzlabošana (PDCA) ISO 19011:2018 (5. nod. programma, 6. nod. audita aktivitātes), IIA Global Internal Audit Standards 2024. Uz risku balstīta pieeja: audita programmu un izlasi plāno pēc riska novērtējuma, ne nejauši. NIS2 subjektiem atbilstības audits ir periodisks, ne vienreizējs notikums.

Praksē

Der jebkuram auditam - gan ISO 27001, gan kvalitātes, gan NIS2 atbilstības pārbaudei. Kā plānot daudzus auditus gada ciklā - audita programma.

Atsauce

ISO 19011:2018 (Guidelines for auditing management systems), IIA Global Internal Audit Standards 2024.

Drošības piezīme

Vispirms pārbauda tur, kur risks ir lielākais. Katram atradumam jābūt pierādījumam - ne tikai sarunai.

Audita programma - ISO 19011:2018 5.2-5.7

Seši soļi, kas atkārtojas katru gadu

Audita programmas cikls Mērķi, riski, izveide, īstenošana, uzraudzība un pārskatīšana secīgi; pārskatīšanas rezultāts atgriežas pie mērķiem nākamajā ciklā. PLAN - 5.2-5.4DO - 5.5CHECK - 5.6ACT - 5.7 5.2 Mērķiko programma dod 5.3 Riskiun iespējas 5.4 Izveidelomas, kompetence,apjoms, resursi 5.5 Īstenošanaauditi pēc grafika 5.6 Uzraudzībaizpilde, rādītāji 5.7 Pārskatsun uzlabošana atziņas no pārskata maina nākamā gada mērķus

5.3 Riski

Programmas riski: trūkst kompetentu auditoru, nereāls grafiks, auditējamie nav pieejami.

5.5 Īstenošana

Katram auditam: mērķi, apjoms, kritēriji, metode, komanda. Rezultāti un ieraksti programmā.

5.7 Pārskats

Vai programma sasniedza mērķus? Ja nē - maina plānu, ne tikai nākamā gada datumus.

Audita programma - prioritizācija

Biežāk auditē to, kur risks ir augstāks un pārbaude sen

Riska un laika matrica audita biežumam Rindas - riska līmenis, kolonnas - laiks kopš pēdējā audita. Augsts risks un sen auditēts nozīmē auditēt tagad. < 1 gads1-2 gadi> 2 gadi laiks kopš pēdējā audita Augsts risksVidējs risksZems risks šogad tagad tagad nākamgad šogad tagad pēc 3 gadiem nākamgad šogad

Riska līmenis nāk no riska novērtējuma (ISO/IEC 27001 6.1), ne no pieņēmuma. Visas ISMS jomas jāaptver sertifikācijas ciklā.

CeturksnisJoma (piemērs)ISO/IEC 27001:2022 pielikums A
Q1Piekļuves pārvaldība5.15-5.18
Q2Piegādātāju drošība5.19-5.23
Q3Incidenti un nepārtrauktība5.24-5.30
Q4Rezerves kopijas un žurnāli, vadības pārskats8.13, 8.15

Kas par ko atbild

Auditors nedrīkst auditēt savu darbu

Audita programmas lomas Augstākā vadība apstiprina programmu, programmas vadītājs to vada, auditori veic auditus, auditējamie sniedz pierādījumus. Rezultāti atgriežas pie vadības. Augstākā vadībaapstiprina, saņem rezultātus Programmas vadītājsplāns, resursi, uzraudzība Auditorikompetenti, neatkarīgi Auditējamiepierādījumi, korekcijas rezultāti un korektīvās darbības - atpakaļ vadībai

ISO/IEC 27001 9.2.2

Auditorus izvēlas un auditus veic tā, lai vērtējums būtu objektīvs.

IIA GIAS 2024

9. princips - stratēģiska plānošana: iekšējā audita plāns balstās uz risku un tiek saskaņots ar padomi.

Mazā organizācijā

Ja neatkarīga auditora nav, auditu var veikt kolēģis no citas nodaļas vai ārējs speciālists.

Pārvaldības un pārliecības lomas

IIA Three Lines Model (2020)

Three Lines Model Pārvaldes institūcija, vadība (1. un 2. līnija), iekšējais audits (3. līnija) un ārējā pārliecība. Three Lines Model - IIA (2020) Iepriekš “Three Lines of Defense”, lomu sadalījums riska pārvaldībā un pārliecībā «organizācija» Pārvaldes institūcija / padome pārraudzība, atbildība ieinteresētajām pusēm 1. līnija operatīvās lomas pārvalda risku ikdienā produkti, pakalpojumi, IT operācijas 2. līnija risku, atbilstības, drošības funkcijas (ekspertīze) CISO, DPO, compliance, QA 3. līnija, Iekšējais audits neatkarīga un objektīva pārliecība + konsultācijas Ārējā pārliecība «ārpus organizācijas» - ārējais audits - sertifikācijas iestāde - uzraudzības iestāde paļaujas uz 3. līnijas darbu, kur iespējams VADĪBA ↑ neatkarīga ziņošana padomei

Praksē

Parāda, kas par ko atbild: 1. līnija dara darbu, 2. līnija uzrauga, 3. līnija (audits) neatkarīgi pārbauda.

Atsauce

IIA Three Lines Model (2020, iepriekš “Three Lines of Defense”), COSO ERM ietvars.

Drošības piezīme

Iekšējais audits nedrīkst pārbaudīt pats savu darbu. Funkcionāli tas ziņo padomei, administratīvi var ziņot vadībai - tā vadība nevar ietekmēt vērtējumu.

Audita pušu klasifikācija

Audita veidi - 1., 2. un 3. puse

"Puse" nosaka, kas veic auditu attiecībā pret to, ko auditē (ISO 19011). 1. puse auditē pati sevi, 2. puse - kāds, kam ir interese par auditējamo, 3. puse - neatkarīga iestāde, kurai nav intereses ne vienā, ne otrā pusē. Jo tālāk auditors stāv no auditējamā, jo neatkarīgāks ir vērtējums.

Audita veidi pēc tā, kas auditē
PuseKas auditēKo auditēKāpēcPiemērs
1. puseiekšējais auditsKas auditēpati organizācija - iekšējais auditors vai komandaKo auditēsavas vienības un procesusKāpēcatrast nepilnības un uzlabot, pirms tās atrod citiPiemērsikgadējais iekšējais ISMS audits (ISO 27001 9.2)
2. pusepiegādātāja auditsKas auditēklients vai pasūtītājs, kam ir interese par rezultātuKo auditēsavu piegādātāju vai partneriKāpēcpārliecināties, ka piegādātājs pilda līgumu un drošības prasībasPiemērsbanka pārbauda savu IT pakalpojumu sniedzēju (NIS2 21. panta 2. punkta d) apakšpunkts - piegādes ķēde)
3. puseneatkarīgs auditsKas auditēakreditēta sertifikācijas iestāde vai uzraugs bez intereses par iznākumuKo auditēorganizāciju pret standartu vai prasībāmKāpēcapliecināt atbilstību citiem - klientiem, uzraugam, tirgumPiemērsISO 27001 sertifikācijas audits
  1. 1. puseauditors ir tās pašas organizācijas darbinieks
  2. 2. puseauditors ir no citas organizācijas, bet ar savu interesi
  3. 3. puseauditors nav saistīts ne ar vienu pusi - neatkarība vislielākā

Praksē

Palīdz saprast, cik neatkarīgs ir auditors un kāpēc audits notiek - savai uzlabošanai, piegādātāja pārbaudei vai sertifikātam.

Atsauce

ISO 19011:2018 (3.1 audita puses), ISO/IEC 17021-1, ISO/IEC 27006-1:2024.

Drošības piezīme

ISO 27001 sertifikātu var dot tikai neatkarīga (3. puses) iestāde. Savus piegādātājus pārbauda pats klients - tas ir 2. puses audits (svarīgi NIS2 piegādes ķēdei).

Audita programma - ISO 19011 5.6

Programmu mēra pēc izpildes un pēc tā, vai atradumi tiek slēgti

RādītājsKā aprēķinaKo rāda
Plāna izpildeveiktie / plānotie auditivai grafiks ir reāls
Atradumi slēgti laikāslēgti termiņā / visi atradumivai audits kaut ko maina
Atkārtoti atradumitie paši atradumi, kas iepriekšējā auditāvai korekcijas novērš cēloni
Vidējais slēgšanas laiksdienas no ziņojuma līdz slēgšanaireakcijas ātrums

Ieraksti

Programma, gada plāns, katra audita plāns un ziņojums, korektīvās darbības, auditoru kompetences pierādījumi.

ISO/IEC 27001 9.2.2

Dokumentēta informācija kā pierādījums programmas īstenošanai un audita rezultātiem.

Starptautisko audita standartu karte

Standartu ainava pēc audita mērķa

Audita standartu ainava Astoņas audita standartu grupas pēc domēna: metodika, ISMS, IT pārvaldība, servisa organizācijas, kontroles, iekšējais audits, finanšu, ES regulējums. Audita standartu ainava Izvēlies standartu pēc audita mērķa - tie bieži pārklājas Metodika ISO 19011:2018 vadības sistēmu audits ISO/IEC 17021-1 sertifikācijas iestādes ISMS sertifikācija ISO/IEC 27001:2022 prasības (Annex A) ISO/IEC 27006-1, 27007 audita vadlīnijas IT pārvaldība COBIT 2019 ISACA, IT governance ITIL 4 pakalpojumu pārvaldība Servisa organizācijas SOC 1 / 2 / 3 AICPA Trust Services ISAE 3402 starptautiskā assurance Kontroļu novērtēšana NIST SP 800-53A kontroļu novērtēšana NIST CSF 2.0 riska ietvars Iekšējais audits IIA Global Standards 2024 (IPPF daļa) Three Lines Model lomu sadalījums Finanšu / assurance ISA (IAASB) starpt. audita standarti PCAOB ASV publiskās komp. ES regulējums NIS2, DORA kiberdrošība, finanses GDPR datu aizsardzības audits SOC 2 (Trust Services) un ISO 27001 abi pārbauda informācijas drošības kontroles, bet atšķiras formātā un atzinumā

Praksē

Palīdz izvēlēties pareizo standartu pēc tā, ko gribi sasniegt - sertifikātu, labāku IT pārvaldību vai atbilstību likumam.

Atsauce

ISO, ISACA (COBIT), AICPA (SOC), IAASB (ISA), IIA, NIST, ES regulas (NIS2, GDPR, DORA).

Drošības piezīme

Standarti pārklājas. Viens labs ISO 27001 bieži sedz arī lielu daļu no SOC 2 un NIS2. Saliec kontroles vienkopus, lai vienu darbu nedarītu divreiz.

Audita pierādījumi un izlase

Pietiekami + atbilstoši pierādījumi, ticamības hierarhija

Audita pierādījumi un izlase Pierādījumu ticamības piramīda un iegūšanas tehnikas (examine, interview, test). Audita pierādījumi Pietiekami (daudzums) + atbilstoši (relevance + ticamība) Ticamības hierarhija ↑ re-performance ārējie avoti iekšējie dokumenti, logi mutiski apgalvojumi augšā = ticamāks, apakšā = vājāks Iegūšanas tehnikas (NIST SP 800-53A) Examine politikas, konfigurācijas, žurnāli Interview personāls, procesu īpašnieki Test kontroles darbībā, re-performance Izlase (sampling) statistiskā vs vērtējuma (judgmental) apjoms pēc riska un populācijas ISO 19011:2018 (6.4.7, A.6), NIST SP 800-53A, ISA 500 (pierādījumi), ISA 530 (izlase) Logu un konfigurāciju eksports un atkārtota pārbaude ir ticamāki par vārdiem

Praksē

Secinājumi jābalsta pierādījumos, ne minējumos. Ar izlasi pārbauda daļu un izdara secinājumu par visu kopumu.

Atsauce

ISO 19011:2018 (6.4.7 informācijas vākšana, A.6 izlase), NIST SP 800-53A (Examine / Interview / Test), ISA 500, ISA 530.

Drošības piezīme

Sistēmas eksporti un atkārtota pārbaude ir ticamāki nekā cilvēka stāsts. Prasi pierādījumu, ko auditējamais nevar viegli pielāgot.

Tehniskie pierādījumi no servera

Atkārtota pārbaude praksē: palaid komandas pats un saglabā rezultātu ar datumu. Visas tikai lasa. Pilni saraksti ir Linux un Windows sistēmas auditā.

Servisi

  • Strādājošie servisi
    systemctl list-units --type=service --state=running --no-pager

    Uz ko skatīties: Katram servisam jābūt zināmam nolūkam un īpašniekam. Serviss, ko neviens nevar izskaidrot, ir lieka uzbrukuma virsma - atzīmē to ziņojumā, un atspējošanu saskaņo ar sistēmas īpašnieku.

  • Servisi ar kļūdām
    systemctl --failed --no-pagersystemctl is-system-running

    Uz ko skatīties: Atbilde degraded nozīmē, ka vismaz viens serviss nav startējis. Nostrādājis drošības serviss (ugunsmūris, žurnalēšana, rezerves kopijas) ir atradums, pat ja sistēma citādi strādā.

  • Viena servisa stāvoklis un žurnāls
    systemctl status <serviss> --no-pagersudo journalctl -u <serviss> --since "24 hours ago" --no-pager

    Uz ko skatīties: Vai serviss ir enabled un active, cik reizes tas pārstartējies un kādas kļūdas tas raksta. Bieža pārstartēšanās slēpj avāriju, ko lietotāji vēl nav pamanījuši.

  • Kurš serviss tur portu
    sudo ss -tlpn 'sport = :<ports>'systemctl status <PID> --no-pager

    Uz ko skatīties: Pirmā komanda dod procesa PID, otrā - servisu, kam tas pieder. Ports bez servisa (process palaists ar roku vai no cron) ir jāizskaidro.

  • Servisu izolācija
    systemd-analyze security --no-pagersystemd-analyze security <serviss> --no-pager

    Uz ko skatīties: Vērtējums no 0 (izolēts) līdz 10 (bez ierobežojumiem). Tīkla servisam ar UNSAFE vērtējumu iesaki ierobežojumus, piemēram, NoNewPrivileges un ProtectSystem. Tas ir ieteikums, ne kļūda.

Tīkla virsma

  • Porti, kas gaida savienojumus
    sudo ss -tulpn

    Uz ko skatīties: Katram portam jābūt zināmam servisam. Adrese 0.0.0.0 vai [::] nozīmē, ka serviss ir pieejams no tīkla. Datubāzei un pārvaldības panelim parasti jāklausās tikai 127.0.0.1.

  • Aktīvie savienojumi
    sudo ss -tnp state established

    Uz ko skatīties: Savienojumi uz nezināmām ārējām adresēm, īpaši no procesiem, kam nav jāsazinās ar internetu.

  • Ugunsmūra kārtulas
    sudo nft list rulesetsudo iptables -S

    Uz ko skatīties: Ienākošā trafika noklusējuma politikai jābūt drop vai deny. Kārtula, kas atļauj visu bez ierobežojuma, atceļ pārējās.

  • Ugunsmūris ufw un atvērtie porti
    sudo ufw status verbosesudo ufw status numberedsudo ufw show listening

    Uz ko skatīties: Pirmā rinda saka, vai ufw vispār ir active, un noklusējumam ienākošajiem jābūt deny. show listening saliek gaidošos portus blakus kārtulām: ports bez atļaujošas kārtulas no tīkla nav sasniedzams, un kārtula bez servisa ir lieka.

  • Konteineru publicētie porti
    docker ps --format 'table {{.Names}}\t{{.Ports}}'sudo iptables -S DOCKER-USER

    Uz ko skatīties: Docker publicētos portus pārsūta pirms ufw kārtulām, tāpēc ufw status tos nerāda un nebloķē. 0.0.0.0:5432->5432 nozīmē, ka datubāze ir atvērta tīklam neatkarīgi no ufw. Ierobežojumi konteineriem pieder ķēdei DOCKER-USER.

Atradumu klasifikācija un atzinums

Neatbilstības (ISO) un audita atzinumi (ISA / SOC)

Atradumi un atzinums ISO neatbilstību klasifikācija un assurance atzinumu veidi. Atradumi un audita atzinums ISO atradumu klasifikācija ✓ Atbilstība (Conformity) kontrole atbilst prasībai un darbojas △ Minor NC (nebūtiska) atsevišķa novirze → korektīvo darbību plāns ✗ Major NC (būtiska) sistēmiska atteice → sertifikāts bloķēts i Novērojums / OFI uzlabošanas iespēja (nav neatbilstība) ISO/IEC 17021-1, ISO 19011 Assurance atzinuma veidi Unqualified / Unmodified „tīrs" atzinums - kontroles efektīvas Qualified (“except for”) atsevišķa būtiska atruna, pārējais kārtībā Adverse (negatīvs) būtiskas un izplatītas neatbilstības Disclaimer (atteikšanās) nepietiekami pierādījumi → nav atzinuma ISA 700–705 (IAASB), AICPA SOC Major NC = sistēmiska kontroles atteice → sertifikātu nevar izsniegt/uzturēt, līdz novērsts un verificēts. Sertifikācijas audits dod atbilstības lēmumu. Assurance audits (SOC, ISA) dod atzinumu par kontroļu efektivitāti. NIS2 sodi: būtiskām struktūrām līdz 10 M EUR vai 2%, svarīgām līdz 7 M EUR vai 1,4% apgrozījuma.

Atraduma uzbūve - pieci elementi

ElementsJautājumsPiemērs
KritērijsKas jābūt?Piekļuves tiesības pārskata reizi ceturksnī (ISO/IEC 27001 A.5.18).
StāvoklisKas ir?12 mēnešos nav neviena pārskata. 7 no 40 kontiem pieder aizgājušiem darbiniekiem.
CēlonisKāpēc?Nav noteikts atbildīgais, personāla daļa IT neziņo par aiziešanu.
SekasKāds risks?Bijušais darbinieks var piekļūt klientu datiem.
IeteikumsKas jādara?Noteikt atbildīgo, automatizēt aiziešanas paziņojumu, bloķēt 7 kontus tūlīt.

Atradums bez cēloņa dod ieteikumu, kas labo simptomu. Bez sekām vadība nevar izlemt prioritāti. IIA Global Internal Audit Standards 2024, 14. princips.

Praksē

Sašķiro atradumus pēc nopietnības un formulē atzinumu. No tā atkarīgs, vai izsniedz sertifikātu un cik lielu pārliecību audits dod.

Atsauce

ISO/IEC 17021-1 (NC klasifikācija), ISA 700–705 (audita atzinumi), AICPA SOC ziņojumi.

Drošības piezīme

Būtiska neatbilstība (Major NC) nozīmē, ka kontrole nopietni nestrādā. Sertifikātu nedod, kamēr tas nav izlabots un pārbaudīts.

Saīsinājumi

Ceļvedī lietotie saīsinājumi: oriģinālais nosaukums un ko tas nozīmē.

IIA
Institute of Internal Auditors - iekšējo auditoru institūts; izdod GIAS standartus.
GIAS
Global Internal Audit Standards - IIA iekšējā audita standarti (2024).
ISACA / COBIT
IT pārvaldības asociācija un tās IT pārvaldības ietvars.
COSO / ERM
Committee of Sponsoring Organizations / Enterprise Risk Management - iekšējās kontroles un uzņēmuma riska pārvaldības ietvars.
SOC 1 / 2 / 3
System and Organization Controls - revidenta atzinumi par pakalpojuma sniedzēja kontrolēm.
ISA
International Standards on Auditing - starptautiskie revīzijas standarti (IAASB).
ISAE
International Standard on Assurance Engagements - standarti pārliecības uzdevumiem (piem., ISAE 3402).
IAASB
International Auditing and Assurance Standards Board - padome, kas izdod ISA un ISAE.
PCAOB
Public Company Accounting Oversight Board - ASV biržas uzņēmumu revīzijas uzraugs.
ISMS
Information Security Management System - informācijas drošības pārvaldības sistēma (ISO 27001).
PDCA
Plan-Do-Check-Act - plāno - dari - pārbaudi - uzlabo.
NC / OFI
Nonconformity / Opportunity for Improvement - neatbilstība / uzlabošanas iespēja audita ziņojumā.
CISO / DPO
Chief Information Security Officer / Data Protection Officer - informācijas drošības vadītājs / datu aizsardzības speciālists.
ITIL
IT pakalpojumu pārvaldības labā prakse.
DORA
Digital Operational Resilience Act - ES finanšu nozares digitālās noturības regula.