Corso di Auditing Informatico

Lezione 1 • Il ciclo di vita dell'audit IT

Delinea il processo di audit end-to-end dalla pianificazione alla rendicontazione. Gli studenti comprendono come ciascuna fase si colleghi per produrre le conclusioni dell'audit.

Lezione 2 • Scopo e finalità dell'audit IT

Definisce l'auditing IT e lo distingue dall'auditing finanziario e operativo. Ancora il capitolo stabilendo perché i controlli IT siano importanti per le organizzazioni.

Lezione 3 • Governance IT e framework di controllo

Introduce i principali framework di controllo utilizzati per strutturare gli audit IT. Gli studenti abbinano i domini dei framework agli obiettivi di audit reali.

Lezione 4 • Concetti di rischio nell'auditing IT

Tratta il rischio inerente, di controllo e di individuazione applicato agli ambienti IT. Fornisce il vocabolario del rischio utilizzato durante tutto il corso.

Lezione 1 • Sviluppare il piano di audit

Traduce il registro dei rischi in un piano di audit formale con perimetro, obiettivi e allocazione delle risorse. Garantisce che l'impegno di audit sia mirato alle aree a più alto rischio.

Lezione 2 • Punteggio e prioritizzazione dei rischi

Applica modelli di punteggio qualitativi e quantitativi per classificare i rischi identificati. Produce il registro dei rischi prioritizzato utilizzato nella pianificazione dell'audit.

Lezione 3 • Comprendere l'ambiente IT

Tecniche per documentare infrastruttura, applicazioni e flussi di dati prima di iniziare il lavoro sul campo. Una mappatura accurata dell'ambiente guida l'identificazione dei rischi.

Lezione 4 • Comunicazione con gli stakeholder nella pianificazione

Tratta le lettere di incarico, le riunioni di avvio e l'allineamento delle aspettative con i soggetti auditati. Una comunicazione efficace previene le dispute sul perimetro durante il lavoro sul campo.

Lezione 1 • Controlli di backup e ripristino

Valuta la frequenza dei backup, i test di integrità e gli obiettivi del tempo di ripristino. Convalida che i dati possano essere ripristinati entro tempi accettabili per il business.

Lezione 2 • Controlli di gestione degli accessi

Esamina il provisioning utenti, l'autenticazione e i controlli sugli accessi privilegiati. Le debolezze nei controlli di accesso sono tra i rilievi di audit IT più comuni.

Lezione 3 • Operazioni IT e schedulazione dei lavori

Esamina i controlli di elaborazione batch, schedulazione dei lavori e gestione degli incidenti. I guasti operativi possono propagarsi in problemi di natura finanziaria e di integrità dei dati.

Lezione 4 • Controlli fisici e ambientali

Verifica la sicurezza fisica del data center, il monitoraggio ambientale e la ridondanza dell'alimentazione. I guasti dei controlli fisici possono vanificare tutte le misure di sicurezza logica.

Lezione 1 • Controlli sugli output e sulla distribuzione

Garantisce che i report e gli output dei dati siano accurati, autorizzati e consegnati ai destinatari previsti. Le debolezze negli output possono esporre dati sensibili o indurre decisioni errate.

Lezione 2 • Controlli di elaborazione e integrità

Verifica che la logica applicativa elabori le transazioni in modo accurato e completo. Tratta i controlli di riconciliazione e i meccanismi di segnalazione delle eccezioni.

Lezione 3 • Tecniche di evidenza per l'audit applicativo

Applica metodi di estrazione dati, campionamento e walkthrough specifici per gli audit applicativi. Collega le tecniche di raccolta delle evidenze agli obiettivi di controllo applicativo.

Lezione 4 • Controlli di input e validazione

Verifica i controlli che impediscono l'inserimento di dati errati o non autorizzati nei sistemi. I guasti nei controlli di input propagano errori in tutti i processi a valle.

Lezione 1 • Endpoint e gestione delle patch

Valuta la protezione degli endpoint, l'aggiornamento delle patch e l'hardening della configurazione. Gli endpoint non aggiornati rappresentano la classe di vulnerabilità più sfruttata.

Lezione 2 • Revisione di vulnerability assessment e test di penetrazione

Valuta il programma di vulnerability scanning dell'organizzazione e i risultati dei test di penetrazione. Gli auditor valutano l'efficacia della remediation piuttosto che condurre test in prima persona.

Lezione 3 • Monitoraggio della sicurezza e logging

Valuta le capacità di raccolta, conservazione e monitoraggio degli eventi di sicurezza. Un monitoraggio efficace è essenziale per rilevare e rispondere agli incidenti.

Lezione 4 • Sicurezza delle identità e degli accessi

Verifica l'autenticazione multi-fattore, il ciclo di vita delle identità e la gestione delle identità privilegiate. L'identità è il piano di controllo primario negli ambienti moderni.

Lezione 1 • Controlli sulla privacy e gestione del consenso

Verifica la raccolta dei dati personali, i meccanismi di consenso e l'esercizio dei diritti dell'interessato. I controlli sulla privacy devono allinearsi ai principi di protezione dei dati applicabili.

Lezione 2 • Governance e classificazione dei dati

Esamina la titolarità dei dati, gli schemi di classificazione e le strutture di governance. Una classificazione adeguata determina i controlli di protezione e trattamento appropriati.

Lezione 3 • Controlli di qualità dei dati

Verifica accuratezza, completezza, coerenza e tempestività dei dati organizzativi. I fallimenti nella qualità dei dati minano le decisioni aziendali e la reportistica regolamentare.

Lezione 4 • Conservazione e smaltimento dei dati

Valuta i piani di conservazione, i metodi di smaltimento sicuro e i processi di conservazione per finalità legali. Una conservazione o uno smaltimento inadeguati creano rischi normativi e reputazionali.

Lezione 1 • Metodologie di campionamento

Applica il campionamento statistico e non statistico a popolazioni di controlli IT. Le decisioni di campionamento influenzano le conclusioni che si possono trarre dai risultati dei test.

Lezione 2 • Documentare le carenze di controllo

Struttura i rilievi utilizzando le componenti di condizione, criterio, causa ed effetto. Una documentazione precisa delle carenze consente al management di comprendere e risolvere i problemi.

Lezione 3 • Standard e struttura delle carte di lavoro

Applica gli standard professionali per le carte di lavoro, inclusi indicizzazione, riferimenti incrociati e approvazione. Carte di lavoro ben strutturate supportano la revisione del supervisore e gli audit futuri.

Lezione 4 • Revisione delle carte di lavoro e garanzia di qualità

Tratta la revisione tra pari, l'approvazione del supervisore e i processi di garanzia di qualità per le carte di lavoro. La revisione di qualità individua le lacune documentali prima dell'emissione del report.

Lezione 1 • Tracciamento della remediation e follow-up

Stabilisce processi per tracciare i piani d'azione del management e verificare la chiusura della remediation. Il follow-up garantisce che i rilievi di audit si traducano in miglioramenti duraturi dei controlli.

Lezione 2 • Struttura e componenti del report di audit

Definisce le sezioni standard del report, tra cui perimetro, rilievi e raccomandazioni. Un report ben strutturato comunica i risultati dell'audit sia al pubblico tecnico che a quello esecutivo.

Lezione 3 • Presentare i risultati agli stakeholder

Tratta la facilitazione della riunione di chiusura, le presentazioni esecutive e la gestione dei disaccordi con i soggetti auditati. Capacità di presentazione efficaci determinano se i rilievi porteranno a un cambiamento reale.

Lezione 4 • Scrivere rilievi di audit efficaci

Applica tecniche di scrittura in linguaggio chiaro per tradurre i problemi tecnici in impatto sul business. I rilievi devono essere compresi dagli stakeholder non tecnici per stimolare l'azione.