IT审计

IT安全审计

范围审计将文件化的操作控制与协定标准进行比较。它识别差距和改进优先事项，但本身不授予认证。

评估范围

测试内容

最终测试覆盖范围在范围界定期间协定，并限于已提供书面授权的系统。

安全治理及资产所有权

身份和访问管理

安全配置与变更控制

漏洞与补丁管理

日志记录、监控、备份和恢复

供应商、事件和连续性流程

委聘流程

定义目标、经批准的系统、限制、测试窗口、联系人及交战规则。

确立经授权的攻击面、架构、用户角色、资产和适用的评估标准。

使用适合环境的手动和技术方法评估经批准的范围。

安全地确认发现，消除误报，并建立切实可行的技术和业务影响。

接收附有证据、风险评级、执行摘要和修复优先次序的调查结果。

与评估团队审阅拟议的纠正措施并澄清实施优先次序。

验证已议定的修复措施，并记录每个经测试的发现是否已解决、减少或仍未解决。

评估参考

商定信息安全管理和控制主题的审计准则；不提供认证。

跨技术和运营控制的优先防护措施和证据审查。

跨越治理、识别、保护、检测、响应和恢复的风险与能力情境。

选定系统的配置准则，如包含在范围内。

标准指导范围和测试覆盖范围。评估本身不构成认证或保证合规性。

报告

审计范围和标准声明

有证据支持的观察结果

控制差距和风险登记册

优先改进计划

管理层简报和后续审查

与 DIGITPOL HK 讨论系统、目标、访问级别和所需证据。