IT審計

IT安全審計

範圍審計將文件化的操作控制與協定標準進行比較。它識別差距和改進優先事項，但本身不授予認證。

評估範圍

測試內容

最終測試覆蓋範圍在範圍界定期間協定，並限於已提供書面授權的系統。

安全治理及資產擁有權

身份和存取管理

安全配置與變更控制

漏洞與修補管理

日誌記錄、監控、備份和復原

供應商、事件和連續性流程

委聘流程

定義目標、經批准的系統、限制、測試窗口、聯繫人及交戰規則。

確立經授權的攻擊面、架構、用戶角色、資產和適用的評估標準。

使用適合環境的手動和技術方法評估經批准的範圍。

安全地確認發現，消除誤報，並建立切實可行的技術和業務影響。

接收附有證據、風險評級、執行摘要和修復優先次序的調查結果。

與評估團隊審閱擬議的糾正措施並釐清實施優先次序。

驗證已議定的修復措施，並記錄每個經測試的發現是否已解決、減少或仍未解決。

評估參考

商定資訊安全管理和控制主題的審計準則；不提供認證。

跨技術和營運控制的優先防護措施和證據審查。

跨越管治、識別、保護、偵測、回應和復原的風險與能力情境。

選定系統的配置準則，如包含在範圍內。

標準指導範圍和測試覆蓋範圍。評估本身不構成認證或保證合規性。

報告

審計範圍和標準聲明

有證據支持的觀察結果

控制差距和風險登記冊

優先改進計劃

管理層簡報和後續審查

與 DIGITPOL HK 討論系統、目標、存取權限級別和所需證明。