稽核人員的視角：像資訊稽核人員一樣思考

資訊稽核人員不是為了找出系統中的每個漏洞或設定錯誤而被聘用。這份工作的範圍更窄，說實話，也更難：判斷現有的控制項是否能合理確認業務風險受到管理。這項區別會改變你處理幾乎每項工作的方式，從閱讀防火牆規則集到訪談系統所有人。

風險優先，技術次之

滲透測試人員問的是「我能破壞這個嗎？」稽核人員問的是「這重要嗎，如果它失效，對業務會有什麼影響？」在接觸任何控制項之前，稽核人員試著理解系統做什麼、它涉及什麼資料，以及機密性、完整性或可用性遭到破壞時會發生什麼。這就是為什麼稽核計畫通常從風險評估或流程查驗開始，而不是漏洞掃描。

具體來說：如果你在稽核薪資系統的存取控制，第一個問題不是「啟用 MFA 了嗎？」而是「未授權人員若能更改薪資資料或檢視個人可識別資訊，影響是什麼？」一旦你知道影響，就能判斷現有控制項（MFA、核准工作流程、職責分離）是否適當。

證據勝於聲明

系統所有人會告訴你事情如何運作。稽核人員的工作是驗證，不是信任。這意味著要求出示文物：設定畫面的螢幕截圖、使用者存取權限的匯出資料、含有核准時間戳記的變更票證、顯示控制項確實執行的日誌項目。如果有人說「我們每季審查存取」，稽核人員要求看最近三份審查記錄，而不只是規定它的政策。

這種以證據為基礎的習慣是將稽核發現與走廊談話區分開的原因。發現必須經得起審查：測試了什麼、抽樣了什麼母體、使用了什麼標準，以及實際觀察到什麼。「控制項似乎充分」這類模糊陳述在管理階層和監管機構將閱讀的報告中站不住腳。

設計與操作有效性

這個領域中最有用的心智分割之一，是將控制項設計與控制項操作分開。要求 14 個字元和 MFA 的密碼政策在紙面上設計良好。但如果上次存取審查是 11 個月前，或服務帳戶在沒有文件的情況下被豁免，控制項就沒有如預期運作。稽核人員同時測試兩者：控制項是否如述般存在，以及它是否實際上每天都被遵循？

這就是為什麼抽樣很重要。測試一位使用者的存取權限告訴你不了多少。抽樣 25 名已離職員工並檢查他們的帳戶是否在 SLA 期間內（比如 24 或 48 小時）被停用，給你一個可防守的結論基礎。

職責分離作為反覆出現的主題

大部分稽核發現可追溯到職責分離 (SoD)：同一個人既請求變更也核准變更，或開發人員既有直接生產資料庫存取權又有部署權限。稽核人員持續尋找這些重疊，因為 SoD 失效是詐欺和無意錯誤在沒有第二雙眼睛察覺的情況下溜過去的方式。

在審查環境時，問：誰能啟動動作、誰能核准它，誰能執行它？如果一個人持有兩個或更多角色而沒有補償控制項（例如由別人審查的詳細日誌），那就是值得記錄的漏洞。

撰寫會被執行的發現

技術上正確但沒有人採取行動的發現是浪費時間的稽核。良好的發現陳述狀況（觀察到什麼）、標準（它違反的政策或標準）、原因（為什麼發生）、以及影響（這會造成什麼風險） — 許多稽核部門使用的經典 4C 結構。「存取控制需要改進」這類模糊發現會被忽視。具體發現如「在 25 名抽樣已離職員工中，14 人在離職日期後超過 5 天仍保有 VPN 存取權，違反了政策 SEC-014 中的 24 小時去配置 SLA」會被補救，因為所有人確切知道要修正什麼。

建立習慣

你透過在普通系統上練習這個框架來發展它，不只是正式的委任。挑選你每天使用的應用程式並問：它失效的風險是什麼、存在什麼控制項，以及我如何證明它們有效？做足夠多次後，稽核人員的直覺 — 懷疑配合對證據的要求 — 就會變成自動反應。

如果這種控制項和風險思維引起你的興趣，查看 Korra Studio 關於存取控制模型和安全治理框架的內容，以獲得更深入的技術基礎。