IT審計對於董事會的重要性

閱讀時間約 3 分鐘

資訊保安對於企業的資訊科技部門是越來越重要,有很多企業己經開始將資訊保安從日常的資訊科技拆分,以避免資訊科技部門因日常繁重的技術支援無法同時兼顧資訊保安的應對。

而資訊保安和IT審計是密不可分的。如果說資訊保安是日常的防御工事,那IT審計就是比起防御更能預先部署的可預視的一環。

過往IT審計可能只是審計內控的其中一環,由內審計部門兼任,但隨着IT審計的重要性越來越重,更多的企業決策人開始將IT審計作為一個主要兼獨立的審計項目來規劃。

過往會將資訊保安、資訊科技和IT審計三者獨立成互不統屬的部門,多數只會在誇國大企業、銀行或者保險業這些財力較優厚的企業才會見到。但現在卻有開始向其他上市公司,新興科網公司等發展的趨勢。

筆者接觸很多不同公司的董事會,傾談間也發現董事會對於IT審計的重視,可能源以以下幾項:

1. 內控的角色越來越重要,尤其上市公司受股東的問責

2. 近年不論私營或公營機構被攻擊的報導,直接影響公司聲譽,稍一不慎,可能輸掉多年來建立的客戶信心

3. 審計的花費相比起受攻擊後的重建成本及損失,可能只是二十份之一甚至更少,在商言商,這花費還是值得的

ISACA早前就有一位會友發表過一份文章The Increasing Importance of IT Audits to the BoD,提到IT審計對董事會的重要:

https://www.isaca.org/resources/news-and-trends/industry-news/2023/the-increasing-importance-of-it-audits-to-the-bod

當年也提到關於董事會對於資安的挑戰的疑慮。

筆者在此不特別覆述Laura的論點,有興趣的朋友可以循以上連結閱讀。筆者十分同意她提到的,董事會未必人人也懂得資安,而只倚靠內部IT部門的報告亦未能清楚公司對於資安的防御能力(因為每個人也有盲點,所以自我審視的評估方式未必是最好的)。

透過獨立的IT審計,除了能確保審計結果不會偏頗外,提供IT審計服務的公司有穩定且可信的做法和流程。他們除了有合適的工具,也有符合國家或全球通用的合規方式,如美國政府的NIST,全球通用的ISO27001標準等等。

獨立IT審計會更客觀了解企業的IT情況,並且能如實反映達標和不達標的相關項目。一些IT審計報告除了直接向董事會滙報,免卻一些偏頗、隱瞞的情況,更會提出潛在風險,讓董事會理解實情。

要明白,全球並沒有一家企業沒有潛在風險,只是風險的處理方式有很多方法,比如降低風險、轉移風險,甚至接受風險。舉例說企業可以選擇加購額外保安方案去降低風險、購買cyber insurance轉移風險,或者準備劇本,當風險發生時有承受風險的能力。

這亦是筆者近年看到越來越多中小型的上市公司董事會,也會將IT審計層面提升到一個獨立和恆常每年度都需要的一個審計環節的原因。


英文版刊於領英

https://www.linkedin.com/pulse/importance-audit-board-directors-yuman-chau-zlzbc/

avatar-img
14會員
71內容數
現職風險管理部總監、兼任大學資安講師及博士研究生。語言學、電腦罪案、工商管理及傳媒管理碩士學位。CISSP、CISA、CISM、CRISC、CHFI、PMP及ISO27001首席審計師資格。也是一名被資安生涯耽誤的詩人及酒徒,作品散見於網路及台港詩刊,持國際唎酒師資格......興趣太廣泛的大孩子。
留言0
查看全部
avatar-img
發表第一個留言支持創作者!
左先生的沙龍 的其他內容
近年最受大眾所注視的Ransomware事件,要數2017年的Wannacry,當時不論是大型企業或是每年投放大量資源於資訊保安的銀行、政府機構也不能倖免。 過去幾年,看似沒有關於Ransomware嚴重保安事故的新聞報導,但是Ransomware的威脅不單沒有減低,越來越多的企業正受到更多模化的
近年最受大眾所注視的Ransomware事件,要數2017年的Wannacry,當時不論是大型企業或是每年投放大量資源於資訊保安的銀行、政府機構也不能倖免。 過去幾年,看似沒有關於Ransomware嚴重保安事故的新聞報導,但是Ransomware的威脅不單沒有減低,越來越多的企業正受到更多模化的
你可能也想看
Google News 追蹤
Thumbnail
這個秋,Chill 嗨嗨!穿搭美美去賞楓,裝備款款去露營⋯⋯你的秋天怎麼過?秋日 To Do List 等你分享! 秋季全站徵文,我們準備了五個創作主題,參賽還有機會獲得「火烤兩用鍋」,一起來看看如何參加吧~
Thumbnail
11/20日NVDA即將公布最新一期的財報, 今天Sell Side的分析師, 開始調高目標價, 市場的股價也開始反應, 未來一週NVDA將重新回到美股市場的焦點, 今天我們要分析NVDA Sell Side怎麼看待這次NVDA的財報預測, 以及實際上Buy Side的倉位及操作, 從
Thumbnail
Hi 大家好,我是Ethan😊 相近大家都知道保濕是皮膚保養中最基本,也是最重要的一步。無論是在畫室裡長時間對著畫布,還是在旅途中面對各種氣候變化,保持皮膚的水分平衡對我來說至關重要。保濕化妝水不僅能迅速為皮膚補水,還能提升後續保養品的吸收效率。 曾經,我的保養程序簡單到只包括清潔和隨意上乳液
Thumbnail
在現今的數字化時代,企業對於數據的重視愈發顯著。數據的保護和安全性是企業成功的重要因素之一。而IT Support和IT Consultant供應商在這方面扮演了關鍵的角色。本文將探討IT Support和IT Consultant對企業數據安全的影響。
Thumbnail
你聽過it包(it bag)嗎? 它指的可不是「它的包」,也沒有什麼太難的意義,那It包指的是最流行,每個人都不能沒有的包。你也有個IT包嗎? 至於為什麼叫It,有2種不同的說法: 說法1: 就很簡單是inevitable (不可避免,不能沒有的)的縮寫,所以it 包指的就是你不能沒有的包。就這麼簡
Thumbnail
2022.06.17 該來的還是來了, 終於來到這一天了 --> RI 經過一年來的舖陳, FCC --> RI --> PIP --> Getout 這也是預期中的事, 沒有什麼好抱怨的, 唯一給自己的台階下, 就是自己的能力就到這裡了.
Thumbnail
睇到呢度,雖然劇情好令人氣憤,但劇本就叫人拍案叫絕:呢個咪19年拗緊嘅嘢囉?政府咁大個集團,唔信佢仲信邊個?送中咪送中囉,係身有屎嘅人先要驚嘅姐。甚至連$10都唔使比,都大把人無條件支持政府,反過來斥責識得思考嘅人。民主自由呢啲嘢,大眾根本唔在乎,原來我哋重視嘅嘢,係一文不值。因為大部分人就係咁現實
Thumbnail
It steers clear of weight reduction, just to improve yourself and better! Foster these 8 positive routines together.  Numerous young ladies nearly tr
我承認,我真的不是很懂…。 我曾進入台灣前三大電信業者的資訊機房,那時我懷抱一個夢想…,我想成為在機房工作的女子……。 隨著我的「夢」,真的是夢,畢竟…
我決定從門檻最低,也相對有自信的職種「システムエンジニア」著手,顧名思義…
說到上回文末的「ITコンサルタント」,我特別查了一下它的意思,「コンサルタント」是顧問的意思,所以顧名思義,此職種即為「IT顧問」。這是什麼鬼??
Thumbnail
It is written! 為什麼是命中註定? 因為 一切都早已被寫在未來裡 如果 你願意用最單純的愛去找尋 就有希望! [貧民百萬富翁]獲得2009奧斯卡八項大獎,包括最佳影片、最佳導演、最佳原創電影歌曲、最佳電影配樂、最佳音效、最佳剪輯、最佳攝影、最佳改編劇本。原著《Q&A》是印度外交
Thumbnail
這個秋,Chill 嗨嗨!穿搭美美去賞楓,裝備款款去露營⋯⋯你的秋天怎麼過?秋日 To Do List 等你分享! 秋季全站徵文,我們準備了五個創作主題,參賽還有機會獲得「火烤兩用鍋」,一起來看看如何參加吧~
Thumbnail
11/20日NVDA即將公布最新一期的財報, 今天Sell Side的分析師, 開始調高目標價, 市場的股價也開始反應, 未來一週NVDA將重新回到美股市場的焦點, 今天我們要分析NVDA Sell Side怎麼看待這次NVDA的財報預測, 以及實際上Buy Side的倉位及操作, 從
Thumbnail
Hi 大家好,我是Ethan😊 相近大家都知道保濕是皮膚保養中最基本,也是最重要的一步。無論是在畫室裡長時間對著畫布,還是在旅途中面對各種氣候變化,保持皮膚的水分平衡對我來說至關重要。保濕化妝水不僅能迅速為皮膚補水,還能提升後續保養品的吸收效率。 曾經,我的保養程序簡單到只包括清潔和隨意上乳液
Thumbnail
在現今的數字化時代,企業對於數據的重視愈發顯著。數據的保護和安全性是企業成功的重要因素之一。而IT Support和IT Consultant供應商在這方面扮演了關鍵的角色。本文將探討IT Support和IT Consultant對企業數據安全的影響。
Thumbnail
你聽過it包(it bag)嗎? 它指的可不是「它的包」,也沒有什麼太難的意義,那It包指的是最流行,每個人都不能沒有的包。你也有個IT包嗎? 至於為什麼叫It,有2種不同的說法: 說法1: 就很簡單是inevitable (不可避免,不能沒有的)的縮寫,所以it 包指的就是你不能沒有的包。就這麼簡
Thumbnail
2022.06.17 該來的還是來了, 終於來到這一天了 --> RI 經過一年來的舖陳, FCC --> RI --> PIP --> Getout 這也是預期中的事, 沒有什麼好抱怨的, 唯一給自己的台階下, 就是自己的能力就到這裡了.
Thumbnail
睇到呢度,雖然劇情好令人氣憤,但劇本就叫人拍案叫絕:呢個咪19年拗緊嘅嘢囉?政府咁大個集團,唔信佢仲信邊個?送中咪送中囉,係身有屎嘅人先要驚嘅姐。甚至連$10都唔使比,都大把人無條件支持政府,反過來斥責識得思考嘅人。民主自由呢啲嘢,大眾根本唔在乎,原來我哋重視嘅嘢,係一文不值。因為大部分人就係咁現實
Thumbnail
It steers clear of weight reduction, just to improve yourself and better! Foster these 8 positive routines together.  Numerous young ladies nearly tr
我承認,我真的不是很懂…。 我曾進入台灣前三大電信業者的資訊機房,那時我懷抱一個夢想…,我想成為在機房工作的女子……。 隨著我的「夢」,真的是夢,畢竟…
我決定從門檻最低,也相對有自信的職種「システムエンジニア」著手,顧名思義…
說到上回文末的「ITコンサルタント」,我特別查了一下它的意思,「コンサルタント」是顧問的意思,所以顧名思義,此職種即為「IT顧問」。這是什麼鬼??
Thumbnail
It is written! 為什麼是命中註定? 因為 一切都早已被寫在未來裡 如果 你願意用最單純的愛去找尋 就有希望! [貧民百萬富翁]獲得2009奧斯卡八項大獎,包括最佳影片、最佳導演、最佳原創電影歌曲、最佳電影配樂、最佳音效、最佳剪輯、最佳攝影、最佳改編劇本。原著《Q&A》是印度外交