رحیم بنابی قدیم - استادیارگروه حسابداری، واحد هشترود، دانشگاه آزاد اسلامی، هشترود، ایران

برای تقویت پایه تصمیمگیری استراتژیک امنیتی، اولویتبندی تهدیدها بر اساس مشاهدات واقعی ( شواهد) به جای نظرات انسانی ترجیح داده میشود و متخصصان مدل امنیت کامل میدانند که امنیت یک فرآیند است، نه یک ویژگی. بهترین راه برای ایجاد یک وضعیت امنیتی، ساختن آن بر روی کنترلها و زیرساختهایی است که قابل مشاهده، آزمایش و بهبود هستند. چرا که حرکت از امنیت مبتنی بر وعده به امنیت مبتنی بر شواهد، مالکیت را از اشخاص ثالث به تیمهای امنیتی تغییر میدهد. از سویی دیگر، خطرات سایبری یک تهدید فزاینده برای سازمان ها هستند و حسابرسی داخلی نقشی حیاتی در مدیریت این خطرات ایفا می کند و یک رویکرد مبتنی بر ریسک برای یک حسابرسی داخلی قوی از مدیریت ریسک سایبری شروع میشود. بطوری که با اتخاذ یک رویکرد مشارکتی و مبتنی بر ریسک، حسابرسی داخلی می تواند به سازمان ها کمک کند تا در چشم انداز پیچیده و در حال تحول ریسک سایبری حرکت کنند. یعنی حسابرسی داخلی به عنوان یک دفاع حیاتی در برابر خطرات سایبری تکامل یافته و فراتر از حوزه های مالی گسترش یافته و شامل امنیت سایبری می شود. برای حسابرسی موثر ریسکهای سایبری، حسابرسی داخلی نیازمند درک آخرین تهدیدات، دانش محیط فناوری اطلاعات و چارچوب امنیت سایبری سازمان، تخصص در مدیریت ریسک و تجزیه و تحلیل دادهها ، و همکاری با فناوری اطلاعات، مدیریت ریسک و عملکردهای انطباق است. در نتیجه مدیریت ریسک سایبری باید در استراتژی کلی مدیریت ریسک سازمان ادغام شود و بهروزرسانی های منظم در مورد مشخصات ریسک سایبری و تهدیدات نوظهور باید به هیئت مدیره و مدیریت ارشد ارائه شود. به عبارتی یکی از نگرانیهای اصلی کسبوکارها داشتن سیستمهای اطلاعاتی است که به کاربران غیرمجاز اجازه دسترسی نمیدهد و اطمینان حاصل میکند که اطلاعات در برابر جاسوسی یا سایر موارد نقض آسیب پذیر نیست. کسب اطمینان در این زمینه و ارائه رهنمودهای سازنده(پیشگیرانه، یابند و اصلاحی) در خصوص افزایش امنیت سایبری توسط حسابرسان، یک رویکرد مبتنی بر شواهد برای مدیریت ریسک در عصر دیجیتالی شدن تجارت است. بطوری که در نتیجه مشارکت حسابرسان در کمک به مدیریت ریسکها، شاخصهای فزاینده امنیت باید در نرم افزار و همچنین سیستم عامل کسب و کار ادغام شود، زیرا برای دستیابی به یک سپر دفاعی منسجم در مقابل خطرات سایبری، خود سیستم های اطلاعاتی باید به سطح مطلوبی از امنیت برسند.

امنیت سایبری، حسابرسی، شواهد حسابرسی، مدیریت ریسک.