Dış denetçilerin dış denetimleri

1) Dış denetimin amacı ve beklenen sonuçlar

• Belirlenen yorum ve önerilerle denetçi raporu (görüş/tasdik);
• Son teslim tarihleriyle tutarlı ve izlenebilir bir CAPA planı
• Tekrarlanabilir "denetim paketi've çözümlerin izlenebilirliği.

2) Şartlar ve çerçeve

Katılım Mektubu (EL): hizmet sözleşmesi, kapsamı, kriterleri, süreyi ve erişim haklarını tanımlar.
Müşteri Tarafından Hazırlanır - kuruluşun hazırladığı materyallerin, tarihlerin ve formatların bir listesi.
Tasarım Testi (ToD) - kontrolün var olduğunu ve doğru şekilde tanımlandığını kontrol edin.
Çalışma Etkinliği Testi (ToE): Kontrolün test edilen dönemde istikrarlı bir şekilde çalışıp çalışmadığını kontrol edin.
Walkthrough: Seçici bir durumda sürecin adım adım analizi.
Reform: Denetçiler tarafından yapılan işlemin/seçimin bağımsız olarak tekrarlanması.

3) Başarılı dış doğrulama ilkeleri

Bağımsızlık ve şeffaflık: çıkar çatışması yok, resmi tekrarlar.
Tasarıma göre denetime hazır: artifaktlar ve günlükler değişmez (WORM), sürümler ve hash makbuzları otomatik olarak kaydedilir.
Birleşik konum: kabul edilen gerçekler, bir konuşmacı "varsayılan olarak".
Gizlilik ve minimum: "minimum yeterli veri" kuralı, kişiliksizleştirme.
Takvim ve disiplin: Yanıtlar/yüklemeler, savaş ritmi güncellemeleri için SLA.

4) Roller ve RACI

(R - Sorumlu; A - Sorumlu; C - Danışılan; I - Bilgilendirilmiş)

5) Nişan mektubu

• Kapsam ve Kriterler: standartlar/çerçeveler (örn. SOC/ISO/PCI/düzenleyici gereksinimler), yargı yetkileri, süreçler.
• İncelenen dönem: Raporlama dönemi ve "kesim" tarihi.
• Erişim ve Gizlilik: erişim seviyeleri, Veri Odası kuralları, NDA.
• Deliverables: rapor türü, bulgular formatı, taslak ve son tarihler.
• Lojistik: iletişim kanalları, cevaplar için SLA, görüşme listesi.

6) Hazırlık: PBC listesi ve "denetim paketi"

PBC listesi düzeltmeleri: belgelerin/günlüklerin/örneklerin listesi, format (PDF/CSV/JSON), sahipler ve son tarihler.
Denetim paketi, değişmeyen bir kanıt vitrininden toplanır ve şunları içerir: politikalar/prosedürler, sistem ve kontrol haritası, dönem metrikleri, günlük ve yapılandırma seçimleri, tarama raporları, sağlayıcı materyalleri, önceki kontrollerin CAPA durumu. Her dosyaya bir hash makbuzu ve bir erişim günlüğü eşlik eder.

7) Denetim metodolojileri ve örnekleme yaklaşımı

Adım adım: Uçtan uca gösteri - politikadan gerçek günlüklere/biletlere/sistem izine.
ToD: Kontrolün kullanılabilirliği ve doğruluğu (açıklama, sahip, frekans, ölçülebilirlik).
ToE: Dönem başına sabit örnekler (risk bazlı n, kritiklik/yargı/roller ile katmanlaştırılmış).
Reform: Denetçi işlemi yeniden üretir (örneğin, DSAR dışa aktarma, erişimin iptali, TTL silme).
Negatif test: Kontrolü atlatma girişimi (SoD, ABAC, limitler, gizli tarama).

8) Eser ve kanıt yönetimi

WORM/Nesne Kilidi - Kontrol süresi boyunca üzerine yazmayı/silmeyi önleyin.
Bütünlük: Hash zincirleri/merkle çapaları, doğrulama günlükleri.
Gözetim Zinciri: Dosyayı kim, ne zaman ve neden oluşturdu/değiştirdi/okudu.
Vaka tabanlı erişim: geçici haklara sahip denetim/vaka numarası ile erişim.
Depersonalizasyon: Kişisel alanların maskelenmesi/takma adlarının verilmesi.

9) Muayene sırasında etkileşim

Tek pencere: resmi kanal (gelen kutusu/portal) ve istek numaralandırma.
Cevap biçimi: numaralandırılmış uygulamalar, yapaylara bağlantılar, veri üretme yönteminin kısa bir özeti.
Röportaj: konuşmacıların listesi, zor soruların senaryoları, doğrulanmamış ifadelerin yasaklanması.
It-site/çevrimiçi ziyaretler: zamanlama, Veri Odası, canlı protokol soruları/sahipler ve son tarihler ile sözler.

10) Bulgular, rapor ve CAPA

Standart bulgu yapısı: ölçüt - gerçek - etki - öneri.
CAPA her yorum için verilir: sahip, Düzeltici/Önleyici tedbirler, son tarihler, kaynaklar, başarı ölçütleri, gerekirse telafi kontrolleri. Tüm CAPA'lar GRC'ye, durum panolarına girer ve tamamlandıktan sonra yeniden denetime tabidir.

11) Sağlayıcılarla çalışma (üçüncü taraflar)

Talep dosyası: sertifikalar (SOC/ISO/PCI), pentest sonuçları, SLA/olayları, alt işlemcilerin listesi ve veri konumları.
Sözleşme gerekçeleri: denetim/anket hakkı, eserlerin sağlanmasının zamanlaması, ayna tutma ve kaldırma/imha onayı.
Yükselmeler: Önemli ihlaller için SLA cezaları/kredileri, rampa dışı koşullar ve göç planı.

12) Dış denetim performans metrikleri

Zamanında PBC: PBC pozisyonlarının %'si zamanında kapandı (hedef ≥ %98).
İlk Geçiş Kabulü: Değişiklik yapılmadan kabul edilen materyallerin yüzdesi.
CAPA Zamanında: % CAPA vadesinde kapandı.
Bulguları Tekrarla (12 ay): Alana göre tekrarların oranı (↓ eğilim).
Denetime Hazır Süre: Tam "denetim paketini" toplamak için saatler (hedef ≤ 8 saat).
Kanıt Bütünlüğü: %100 karma zincir/çapa kontrollerinden geçer.
Satıcı Sertifikası Tazeliği: Kritik sağlayıcılardan alınan mevcut sertifikaların yüzdesi (%100 hedef).

13) Gösterge Panoları (minimum set)

Engagement Tracker: kontrol aşamaları (Plan, Saha Çalışması, Taslak, Final), SLA istekleri.
PBC Burndown: Sahibine/terime göre kalan pozisyonlar.
Bulgular ve CAPA: kritiklik, sahipler, zamanlama, ilerleme.
Kanıt Hazırlığı: WORM/hash'lerin varlığı, paketlerin bütünlüğü.
Satıcı Güvencesi: sağlayıcı materyallerinin durumu ve ayna retentions.
Denetim Takvimi: gelecekteki doğrulama/sertifikasyon pencereleri ve hazırlık.

14) SOP (standart prosedürler)

SOP-1: Dış denetimi başlat

EL'yi başlatın - fix scope/period - rolleri ve takvimi atayın - PBC'yi yayınlayın - açık Veri Odası - yanıt şablonları ve tek çağrı cihazları hazırlayın.

SOP-2: Denetçinin talebine yanıt

Bir istek kaydedin, bir sahibi atayın, veri toplayın ve doğrulayın, yasal/gizlilik incelemesi, hash makbuzuyla bir paket oluşturun, resmi kanaldan gönderin, teslimat onayını kaydedin.

SOP-3: Walkthrough/Reperform

Senaryolar üzerinde anlaşın - demo ortamları ve maskeli veriler hazırlayın - WORM'de sonuçları ve eserleri yakalayın.

SOP-4: Rapor ve CAPA İşleme

Bulguları sınıflandırın - konu CAPA (SMART) - Komitedeki güncellemeler - görevler/yükselmeler oluşturun - yeniden denetim ve son teslim tarihlerini bağlayın.

SOP-5: Denetimde ölüm sonrası

2-4 hafta sonra: süreç değerlendirmesi, SLA, kanıt kalitesi, şablon/politika güncellemesi, iyileştirme planı.

15) Kontrol listeleri

Başlamadan önce

• EL imzalı, kapsam/kriter/dönem tanımlı.
• PBC yayınlandı ve sahipler/son tarihler atandı.
• Veri Odası hazır, "duruma göre" erişim yapılandırıldı.
• One-pagers/charts/glossary hazırlanmıştır.
• Politikalar/prosedürler/sürümler güncellendi.

Saha çalışması sırasında

• Tüm yanıtlar bir istek kimliği ile tek bir kanaldan geçer.
• Her dosyanın bir karma makbuzu ve bir erişim günlüğü girişi vardır.
• Röportaj/demo - listeye göre, protokol ve görev sahipleri ile.
• Tartışmalı yorumlar - düzeltin, yasal incelemeye getirin.

Rapordan sonra

• Bulgular sınıflandırılır, CAPA'lar atanır ve onaylanır.
• Son tarihler ve metrikler GRC/gösterge tablolarında belirlenir.
• Yüksek/Kritik'e atanan yeniden denetim.
• Güncellenmiş SOP/Politikalar/Kontrol Kuralları.

16) Antipatterns

Günlükleri ve hash onayı olmadan "kağıt" malzemeler.
Koordinasyonsuz konuşmacılar ve çelişkili cevaplar.
Değişmezlik ve depolama zincirleri olmadan manuel boşaltma.
Belgelendirilmiş ek olmadan muayene sırasında kapsamın daraltılması.
Önleyici tedbirler ve telafi edici kontrollerin son kullanma tarihleri olmayan CAPA'lar.
30-90 gün boyunca yeniden denetim ve gözlem yapılmaması - tekrarlanan ihlaller.

17) Olgunluk modeli (M0-M4)

M0 Hell-hoc: reaktif yükler, kaotik tepkiler, PBC yok.
M1 Planlanan: EL/PBC, temel şablonlar, tek kanal.
M2 Yönetilen: WORM arşivi, hash makbuzları, panolar, SLA.
M3 Entegre: Düğme ile "denetim paketi", kod olarak güvence, evreleme yeniden konumlandırma.
M4 Sürekli Güvence: tahmini KRI'lar, paketlerin otomatik üretilmesi ve zamanla otomatik yükselme, el emeğini en aza indirme.

18) İlgili wiki makaleleri

Düzenleyiciler ve denetçiler ile etkileşim

Risk Bazlı Denetim (RBA)

Sürekli Uyumluluk İzleme (CCM)

Kanıt ve belgelerin depolanması

Günlüğe Kaydetme ve Denetim İzi

İyileştirme Planları (CAPAs)

Yeniden denetim ve takip

Uyum politikası değişim yönetimi

Durum Tespiti ve Dış Kaynak Kullanımı Riskleri

Sonuç

Dış denetim, kanıt değişmez olduğunda yönetilebilir ve öngörülebilir hale gelir, süreç standartlaştırılır, roller ve zaman çizelgeleri açıktır ve CAPA yeniden denetim ve metrikler aracılığıyla döngüyü kapatır. Bu yaklaşım, uyumluluk maliyetini azaltır, denetimleri hızlandırır ve kuruluşta güven oluşturur.