CISA 稽核人員的角色界線:什麼該做、什麼不該做

CISA 有一大類題目考的不是技術細節,而是「你現在坐在哪個位置」。同樣撞見疑似入侵,主角是應變人員,先確認真假;主角是稽核人員,答案是通知負責人。選項裡最誘人的,往往是看起來最負責的那個:自己動手修、直接下令停權、事實沒查清就先寫報告。

稽核人員的位置很窄:評估、取證、報告、追蹤,決定與動手都留給管理階層。下面分六段,講這條界線怎麼考、哪裡會被騙、怎麼分辨,例題都是自寫的練習題。

先分角色:拍板、把關、檢查

• 拍板:使用者管理階層、業務擁有者、治理層。問誰核准上線、誰定資料等級,找承擔後果的人,不是動手的管理員。
• 把關:變更核准、釋出管理這類關卡,只核對授權與測試。核准的人不驗自己,提案的人不核自己。
• 檢查:稽核人員。獨立評估、取證、記成發現、報告、追蹤,不替任何一方做事。

題目常丟一個動作,問該不該由稽核人員做。每個選項先問「這是誰的工作」:錯的多半長成兩種樣子,替人動手(修、關、停),或替人拍板(選方案、決定要不要接受風險)。

獨立性與客觀性:能建議,不能動手,碰過的不審

• 可以:驗證、評估風險、對控制提建議、當控制自我評估(CSA)的促進者。
• 不可以:設計、導入、執行或日常監控受稽單位的控制,推薦特定廠商,替管理階層做決定,自己動手修錯、清病毒、停帳號。

• 自己有衝突時:碰過受稽對象再去審它,考題歸為獨立性受損。開工前先向稽核主管揭露,由他決定怎麼派人,碰過的那一塊換人;只是同事碰過,揭露就能繼續。會騙到人的選項多半看起來有骨氣:自己拒絕(替主管決定人力)、只在報告註明(事後補一句)、改當最終複核(仍握定稿權)。
• 查什麼、寫什麼:查哪裡看風險評估,受稽單位的意見只是輸入;報告由稽核人員定稿,受稽單位核稿就損及獨立性。

撞見事件:通報,不自己處理

稽核人員撞見正在發生的事,連「確認」「調查」通常也不是自己的事。攻擊進行中、資料正在外洩,就馬上通知應變團隊、系統負責人或適當的管理階層;只是起疑,也報管理階層,不自己查。

• 被騙:自己改設定、移除惡意程式、要求關機或停帳號、清點外洩筆數,每個都像在幫忙,其實是越權,還可能拖慢隔離、破壞證據。「等開會再說」則是放任損害擴大。
• 分辨的線:損害還在擴大,先通報;只是發現缺口、不知牽涉多大(例如不確定哪些資料可能外露),先查外露什麼、多敏感,再記錄報告。

發現缺失:先查事實,再報告,決定留給管理階層

• 控制缺口:分工沒拆、權限過大這類缺口,先查有沒有補償控制在運作,查完才記錄成發現並報告。
• 治理要件缺了:例如政策沒經有權者核准。這種缺口沒有補償控制可找,直接報告,建議放在報告後面。
• 被騙:要求停權、合併角色、增聘人手、建議補償控制或更安全的系統,都是替管理階層決定;還沒查補償控制就上報,則是順序錯。

對方不改、不同意或接受風險:報告照寫,決定歸管理階層

報告寫什麼歸稽核人員,稽核期間已改好的缺失、對方不同意的發現都照寫;風險怎麼處理歸管理階層。四種回應各有下一步,也各有誘人的錯法:

• 沒改,也沒說原因:先問為什麼(資源不足、已接受風險,或另有補償控制)。直接寫進報告、提替代方案,是跳過了這一問。
• 說了原因(延後、沒預算),沒說接受:評估拖著的風險,交高階管理階層決定。只記下理由,或因為要換系統就結案,都不對。
• 明說接受風險:寫進報告,讓稽核委員會知道;超出風險胃納,另與高階管理階層討論。代做成本效益分析、只報給 IT 管理階層、通報外部機關,都不對。
• 不同意這項發現:先重新驗證證據(含對方指出的補償控制),再說明風險,仍不同意找自己的主管,最後兩方意見一起寫進報告。要對方簽免責書、請稽核委員會裁決,是誘餌。

再補一種容易混的:管理階層說「這個做法是我們核准的」,不等於接受風險。先查補償控制到不到位,別直接當成接受風險寫進報告。

追蹤稽核:看風險處理好了沒

• 考法:追蹤確認的是風險處理好了沒,不是有沒有照原案做。管理階層改用別的做法,先評估夠不夠降低風險:夠就算已處理,不夠就重申原建議。
• 被騙:沒評估就升級(報給高階主管、重列高風險),或照單結案,都跳過了最核心的一步。完成聲明只是「對方說做了」,要看系統設定、紀錄,必要時親眼看一次。
• 範圍外的新異常:同時知會稽核主管與營運管理階層,嚴重缺陷照實寫進報告;不自己追查,也不因為超出範圍就略過。