コンピュータセキュリティ監査とは何ですか？

コンピューターセキュリティ監査は、企業または組織の情報セキュリティの目標がどの程度達成されているかを技術的に評価するものです。 ほとんどの場合、企業は監査を行うために情報技術（IT）の専門家を雇い、通常はランダムまたは非通知ベースで監査を実施します。 監査の主な目標の1つは、幹部にネットワークセキュリティの全体的な健全性のアイデアを提供することです。 多くの場合、レポートは包括的であり、発見されたリスクとともにコンプライアンスを文書化します。 ネットワークの種類と問題のシステムの複雑さに応じて、専用のソフトウェアプログラムを使用して、小規模でコンピューターセキュリティ監査を行うことができます。

ネットワーク、イントラネット接続、およびインターネットアクセスにより、企業取引は非常に効率的になりましたが、この効率にはある程度の脆弱性が伴います。 一般的なリスクには、ハッキング、情報盗難、コンピューターウイルスなどがあります。 企業は通常、これらのリスクを軽減するために多くのネットワークセキュリティソフトウェアプログラムを実装しています。 通常、ネットワークの使用を管理するベストプラクティスルールも作成します。 コンピューターセキュリティ監査は、企業のリーダーがこれらの対策が日々どのように機能しているかを調べる方法です。

監査は通常、管理者が希望するほど狭くても包括的でもかまいません。 企業は、個々の部門を監査し、パスワードの強度、従業員のデータアクセスの傾向、企業ホームページの全体的な整合性などの特定の脅威に焦点を合わせることが一般的です。 より包括的なコンピュータセキュリティ監査では、企業のすべての情報セキュリティ設定、プロビジョニング、およびアクションが一度に評価されます。

ほとんどの場合、監査はリスクのリストで終わりません。 潜在的な脆弱性を理解することは非常に重要ですが、それだけではネットワークセキュリティは保証されません。 また、コンピュータセキュリティ監査レポートでは、通常の使用（具体的には、その使用が会社のセキュリティ目標にどのように準拠しているか）を詳述し、そこから改善の提案を行う必要があります。

通常、機密データへのアクセスの分析は、コンピューターのセキュリティ監査の主要な部分です。 どの従業員がデータにアクセスしたか、どのくらいの頻度、そしてなぜかを知ることは、企業のリーダーに特定の情報が実際にどれほどプライベートであるかについての洞察を与えます。 監査人は、メインフレームWebサイトや個々の電子メールアカウントなどの企業資産のセキュリティ設定を確認し、通常、監査期間中にそれぞれがログインした回数を計算できます。 ここでの目標は、個々の従業員を追跡することではなく、平均的なトラフィックパターンを把握し、一般的な使用モデルを理解することです。

何よりも、監査の主な目標は、コンピューターのセキュリティ状況の全体像を提供することです。 ほとんどの企業は、定期的に監査をスケジュールします。多くの場合、IT部門または外部の請負業者を介して監査を行います。 これらの演習を通じて、進化する脅威に積極的に対応することを学びます。 多くは、監査レポートの発見と推奨事項に応じて、ウイルス対策ソフトウェアとコンピューターセキュリティソフトウェアを更新し、パスワードポリシーを変更し、ファイアウォールの強度を上げています。