IT審計對於董事會的重要性

閱讀時間約 3 分鐘

資訊保安對於企業的資訊科技部門是越來越重要,有很多企業己經開始將資訊保安從日常的資訊科技拆分,以避免資訊科技部門因日常繁重的技術支援無法同時兼顧資訊保安的應對。

而資訊保安和IT審計是密不可分的。如果說資訊保安是日常的防御工事,那IT審計就是比起防御更能預先部署的可預視的一環。

過往IT審計可能只是審計內控的其中一環,由內審計部門兼任,但隨着IT審計的重要性越來越重,更多的企業決策人開始將IT審計作為一個主要兼獨立的審計項目來規劃。

過往會將資訊保安、資訊科技和IT審計三者獨立成互不統屬的部門,多數只會在誇國大企業、銀行或者保險業這些財力較優厚的企業才會見到。但現在卻有開始向其他上市公司,新興科網公司等發展的趨勢。

筆者接觸很多不同公司的董事會,傾談間也發現董事會對於IT審計的重視,可能源以以下幾項:

1. 內控的角色越來越重要,尤其上市公司受股東的問責

2. 近年不論私營或公營機構被攻擊的報導,直接影響公司聲譽,稍一不慎,可能輸掉多年來建立的客戶信心

3. 審計的花費相比起受攻擊後的重建成本及損失,可能只是二十份之一甚至更少,在商言商,這花費還是值得的

ISACA早前就有一位會友發表過一份文章The Increasing Importance of IT Audits to the BoD,提到IT審計對董事會的重要:

https://www.isaca.org/resources/news-and-trends/industry-news/2023/the-increasing-importance-of-it-audits-to-the-bod

當年也提到關於董事會對於資安的挑戰的疑慮。

筆者在此不特別覆述Laura的論點,有興趣的朋友可以循以上連結閱讀。筆者十分同意她提到的,董事會未必人人也懂得資安,而只倚靠內部IT部門的報告亦未能清楚公司對於資安的防御能力(因為每個人也有盲點,所以自我審視的評估方式未必是最好的)。

透過獨立的IT審計,除了能確保審計結果不會偏頗外,提供IT審計服務的公司有穩定且可信的做法和流程。他們除了有合適的工具,也有符合國家或全球通用的合規方式,如美國政府的NIST,全球通用的ISO27001標準等等。

獨立IT審計會更客觀了解企業的IT情況,並且能如實反映達標和不達標的相關項目。一些IT審計報告除了直接向董事會滙報,免卻一些偏頗、隱瞞的情況,更會提出潛在風險,讓董事會理解實情。

要明白,全球並沒有一家企業沒有潛在風險,只是風險的處理方式有很多方法,比如降低風險、轉移風險,甚至接受風險。舉例說企業可以選擇加購額外保安方案去降低風險、購買cyber insurance轉移風險,或者準備劇本,當風險發生時有承受風險的能力。

這亦是筆者近年看到越來越多中小型的上市公司董事會,也會將IT審計層面提升到一個獨立和恆常每年度都需要的一個審計環節的原因。


英文版刊於領英

https://www.linkedin.com/pulse/importance-audit-board-directors-yuman-chau-zlzbc/

12會員
67內容數
筆者有多年的品飲經驗,持有WSET及國際唎酒師認證,希望將品飲的樂趣介紹給讀者。 這個出版專題會以簡單易懂、親民價格的清酒作為分享內容,謝絕太專業向及高價逸品。同時筆者亦會就近年越受重視的資訊保安進行由淺入深的分析,跟進趨勢。 相信大家都能輕易進入的才是領域的真正門檻。
留言0
查看全部
發表第一個留言支持創作者!
左先生的沙龍 的其他內容
近年最受大眾所注視的Ransomware事件,要數2017年的Wannacry,當時不論是大型企業或是每年投放大量資源於資訊保安的銀行、政府機構也不能倖免。 過去幾年,看似沒有關於Ransomware嚴重保安事故的新聞報導,但是Ransomware的威脅不單沒有減低,越來越多的企業正受到更多模化的
近年最受大眾所注視的Ransomware事件,要數2017年的Wannacry,當時不論是大型企業或是每年投放大量資源於資訊保安的銀行、政府機構也不能倖免。 過去幾年,看似沒有關於Ransomware嚴重保安事故的新聞報導,但是Ransomware的威脅不單沒有減低,越來越多的企業正受到更多模化的
你可能也想看
Google News 追蹤
Thumbnail
這個秋,Chill 嗨嗨!穿搭美美去賞楓,裝備款款去露營⋯⋯你的秋天怎麼過?秋日 To Do List 等你分享! 秋季全站徵文,我們準備了五個創作主題,參賽還有機會獲得「火烤兩用鍋」,一起來看看如何參加吧~
Thumbnail
美國總統大選只剩下三天, 我們觀察一整週民調與金融市場的變化(包含賭局), 到本週五下午3:00前為止, 誰是美國總統幾乎大概可以猜到60-70%的機率, 本篇文章就是以大選結局為主軸來討論近期甚至到未來四年美股可能的改變
Thumbnail
Faker昨天真的太扯了,中國主播王多多點評的話更是精妙,分享給各位 王多多的點評 「Faker是我們的處境,他是LPL永遠繞不開的一個人和話題,所以我們特別渴望在決賽跟他相遇,去直面我們的處境。 我們曾經稱他為最高的山,最長的河,以為山海就是盡頭,可是Faker用他28歲的年齡...
Thumbnail
在現今的數字化時代,企業對於數據的重視愈發顯著。數據的保護和安全性是企業成功的重要因素之一。而IT Support和IT Consultant供應商在這方面扮演了關鍵的角色。本文將探討IT Support和IT Consultant對企業數據安全的影響。
Thumbnail
你聽過it包(it bag)嗎? 它指的可不是「它的包」,也沒有什麼太難的意義,那It包指的是最流行,每個人都不能沒有的包。你也有個IT包嗎? 至於為什麼叫It,有2種不同的說法: 說法1: 就很簡單是inevitable (不可避免,不能沒有的)的縮寫,所以it 包指的就是你不能沒有的包。就這麼簡
Thumbnail
2022.06.17 該來的還是來了, 終於來到這一天了 --> RI 經過一年來的舖陳, FCC --> RI --> PIP --> Getout 這也是預期中的事, 沒有什麼好抱怨的, 唯一給自己的台階下, 就是自己的能力就到這裡了.
Thumbnail
睇到呢度,雖然劇情好令人氣憤,但劇本就叫人拍案叫絕:呢個咪19年拗緊嘅嘢囉?政府咁大個集團,唔信佢仲信邊個?送中咪送中囉,係身有屎嘅人先要驚嘅姐。甚至連$10都唔使比,都大把人無條件支持政府,反過來斥責識得思考嘅人。民主自由呢啲嘢,大眾根本唔在乎,原來我哋重視嘅嘢,係一文不值。因為大部分人就係咁現實
Thumbnail
It steers clear of weight reduction, just to improve yourself and better! Foster these 8 positive routines together.  Numerous young ladies nearly tr
我承認,我真的不是很懂…。 我曾進入台灣前三大電信業者的資訊機房,那時我懷抱一個夢想…,我想成為在機房工作的女子……。 隨著我的「夢」,真的是夢,畢竟…
我決定從門檻最低,也相對有自信的職種「システムエンジニア」著手,顧名思義…
說到上回文末的「ITコンサルタント」,我特別查了一下它的意思,「コンサルタント」是顧問的意思,所以顧名思義,此職種即為「IT顧問」。這是什麼鬼??
Thumbnail
It is written! 為什麼是命中註定? 因為 一切都早已被寫在未來裡 如果 你願意用最單純的愛去找尋 就有希望! [貧民百萬富翁]獲得2009奧斯卡八項大獎,包括最佳影片、最佳導演、最佳原創電影歌曲、最佳電影配樂、最佳音效、最佳剪輯、最佳攝影、最佳改編劇本。原著《Q&A》是印度外交
Thumbnail
這個秋,Chill 嗨嗨!穿搭美美去賞楓,裝備款款去露營⋯⋯你的秋天怎麼過?秋日 To Do List 等你分享! 秋季全站徵文,我們準備了五個創作主題,參賽還有機會獲得「火烤兩用鍋」,一起來看看如何參加吧~
Thumbnail
美國總統大選只剩下三天, 我們觀察一整週民調與金融市場的變化(包含賭局), 到本週五下午3:00前為止, 誰是美國總統幾乎大概可以猜到60-70%的機率, 本篇文章就是以大選結局為主軸來討論近期甚至到未來四年美股可能的改變
Thumbnail
Faker昨天真的太扯了,中國主播王多多點評的話更是精妙,分享給各位 王多多的點評 「Faker是我們的處境,他是LPL永遠繞不開的一個人和話題,所以我們特別渴望在決賽跟他相遇,去直面我們的處境。 我們曾經稱他為最高的山,最長的河,以為山海就是盡頭,可是Faker用他28歲的年齡...
Thumbnail
在現今的數字化時代,企業對於數據的重視愈發顯著。數據的保護和安全性是企業成功的重要因素之一。而IT Support和IT Consultant供應商在這方面扮演了關鍵的角色。本文將探討IT Support和IT Consultant對企業數據安全的影響。
Thumbnail
你聽過it包(it bag)嗎? 它指的可不是「它的包」,也沒有什麼太難的意義,那It包指的是最流行,每個人都不能沒有的包。你也有個IT包嗎? 至於為什麼叫It,有2種不同的說法: 說法1: 就很簡單是inevitable (不可避免,不能沒有的)的縮寫,所以it 包指的就是你不能沒有的包。就這麼簡
Thumbnail
2022.06.17 該來的還是來了, 終於來到這一天了 --> RI 經過一年來的舖陳, FCC --> RI --> PIP --> Getout 這也是預期中的事, 沒有什麼好抱怨的, 唯一給自己的台階下, 就是自己的能力就到這裡了.
Thumbnail
睇到呢度,雖然劇情好令人氣憤,但劇本就叫人拍案叫絕:呢個咪19年拗緊嘅嘢囉?政府咁大個集團,唔信佢仲信邊個?送中咪送中囉,係身有屎嘅人先要驚嘅姐。甚至連$10都唔使比,都大把人無條件支持政府,反過來斥責識得思考嘅人。民主自由呢啲嘢,大眾根本唔在乎,原來我哋重視嘅嘢,係一文不值。因為大部分人就係咁現實
Thumbnail
It steers clear of weight reduction, just to improve yourself and better! Foster these 8 positive routines together.  Numerous young ladies nearly tr
我承認,我真的不是很懂…。 我曾進入台灣前三大電信業者的資訊機房,那時我懷抱一個夢想…,我想成為在機房工作的女子……。 隨著我的「夢」,真的是夢,畢竟…
我決定從門檻最低,也相對有自信的職種「システムエンジニア」著手,顧名思義…
說到上回文末的「ITコンサルタント」,我特別查了一下它的意思,「コンサルタント」是顧問的意思,所以顧名思義,此職種即為「IT顧問」。這是什麼鬼??
Thumbnail
It is written! 為什麼是命中註定? 因為 一切都早已被寫在未來裡 如果 你願意用最單純的愛去找尋 就有希望! [貧民百萬富翁]獲得2009奧斯卡八項大獎,包括最佳影片、最佳導演、最佳原創電影歌曲、最佳電影配樂、最佳音效、最佳剪輯、最佳攝影、最佳改編劇本。原著《Q&A》是印度外交