評估概覽
評估內容
審計目標、業務範圍、控制標準、證據擁有者和時間表
文件、訪談、配置和抽樣證據審查
評估管治、存取、漏洞、日誌記錄、彈性和供應商控制措施
驗證和分類已觀察到的控制差距及相關風險
範圍說明、觀察結果、風險登記冊、改進計劃及管理層簡報
測試覆蓋範圍
檢查內容
最終覆蓋範圍取決於協定的系統、存取權限、目標、排除項目及安全要求。
安全治理及資產擁有權
身份和存取管理
安全配置與變更控制
漏洞與修補管理
日誌記錄、監控、備份和復原
供應商、事件和連續性流程
行業參考資料
如何獲取覆蓋範圍資訊
ISO/IEC 27001控制領域
商定資訊安全管理和控制主題的審計準則；不提供認證。
CIS Controls
跨技術和營運控制的優先防護措施和證據審查。
NIST 網絡安全框架
跨越管治、識別、保護、偵測、回應和復原的風險與能力情境。
CIS Benchmarks
選定系統的配置準則，如包含在範圍內。
這些參考資料為評估提供依據。測試本身並不提供認證或保證合規。
最終報告
報告中包含的內容
報告專為決策者和負責修復的團隊而設計。
審計範圍和標準聲明
有證據支持的觀察結果
控制差距和風險登記冊
優先改進計劃
管理層簡報和後續審查
討論所需的範圍和報告。
DIGITPOL HK 將在測試前確認目標、限制、證據需求和報告要求。