Audit — בהקשר ביקורת מוצר/מערכת

הסבר פורמלי#

לפי מילון NIST, audit הוא סקירה עצמאית של רשומות ופעילויות כדי להעריך אם בקרות המערכת מספקות ואם מדיניות ונהלי עבודה מתקיימים. הגדרה אחרת (CNSSI 4009-2022, על בסיס ISO) מתארת תהליך שיטתי, עצמאי ומתועד לאיסוף ראיות והערכתן מול קריטריונים. ההקשר כאן הוא ביקורת של מוצר או מערכת, לא ביקורת חשבונות.

הסבר בגובה העיניים#

במקום לשאול את הצוות "הכול בסדר?", גורם שלא בנה את המערכת עובר על הלוגים, ההרשאות והנהלים ובודק אם מה שנאמר שקורה אכן קורה, ומתעד ממצאים.

למה זה חשוב בפועל#

כדי שביקורת תהיה אפשרית צריך לתעד: מי עשה מה ומתי. תכננו את התיעוד מראש, ושמרו ממצאים ב-Risk Register.

תגיות#

• audit
• compliance
• governance
• controls

מקורות#

• NIST CSRC Glossary: audit