العربية
الإنجليزية
الملخص
تقدم دورة تدقيق الضوابط العامة لتكنولوجيا المعلومات إطاراً مؤسسياً منظماً للمهنيين المسؤولين عن تقييم فعالية وموثوقية وأمن وحوكمة ضوابط تكنولوجيا المعلومات داخل المؤسسات. ويُعد تدقيق الضوابط العامة لتكنولوجيا المعلومات عنصراً أساسياً في التدقيق الداخلي الحديث، وضمان أمن المعلومات، وإدارة مخاطر التكنولوجيا، ومراجعة الامتثال، والحوكمة المؤسسية. وتوفر الضوابط العامة الفعالة لتكنولوجيا المعلومات الأساس للأنظمة الموثوقة، وحماية المعلومات، وضبط التغييرات التقنية، وإدارة وصول المستخدمين بصورة مناسبة، وضمان موثوقية العمليات التجارية.
تُقدم هذه الدورة من قبل معهد جنيف لإدارة الأعمال ضمن فئة دورات المراجعة والتدقيق والتقييم، وتركز على المتطلبات العملية المرتبطة بمراجعة وتقييم الضوابط العامة لتكنولوجيا المعلومات في بيئات التكنولوجيا المؤسسية. وتتناول كيفية فحص تصميم الضوابط، وتقييم فعاليتها التشغيلية، وتحديد نقاط الضعف، وتوثيق أدلة التدقيق، وتقييم المخاطر التقنية، وإيصال النتائج إلى الإدارة والجهات المعنية بالحوكمة.
تغطي الدورة المجالات الرئيسية المرتبطة بالضوابط العامة لتكنولوجيا المعلومات، بما في ذلك الوصول المنطقي والمادي، وإدارة المستخدمين، والوصول ذي الصلاحيات المرتفعة، والمصادقة، وفصل المهام، وإدارة التغييرات، وعمليات تكنولوجيا المعلومات، والنسخ الاحتياطي والاستعادة، وإدارة الحوادث، وتطوير الأنظمة، وأمن المعلومات، وحوكمة التكنولوجيا. كما تتناول كيفية دعم هذه الضوابط لموثوقية التقارير المالية، والامتثال التنظيمي، واستمرارية العمليات، والأمن السيبراني، وإدارة مخاطر المؤسسة بصورة أوسع.
ويمثل اختبار ضوابط الوصول أحد المكونات الرئيسية للبرنامج. تعتمد المؤسسات على الوصول المنضبط لحماية المعلومات الحساسة ومنع الأنشطة غير المصرح بها. ولذلك يحتاج المدققون إلى أساليب منظمة لمراجعة إجراءات إنشاء حسابات المستخدمين، وتعديل الصلاحيات، وإنهاء الوصول، والحسابات ذات الصلاحيات المرتفعة، والوصول القائم على الأدوار، والمراجعات الدورية للصلاحيات، وفصل المهام. وتوفر الدورة منظوراً مؤسسياً لتقييم ما إذا كانت ضوابط الوصول مصممة بصورة مناسبة ويتم تشغيلها باستمرار.
كما تمثل مراجعة إدارة التغييرات مجالاً محورياً في الدورة. يمكن أن تؤدي التغييرات غير المنضبطة على التطبيقات والبنية التحتية وقواعد البيانات والإعدادات وبيئات الإنتاج إلى مخاطر تشغيلية وأمنية وامتثالية ومالية. وتتناول الدورة كيفية تقييم المدققين لطلبات التغيير، والموافقات، والاختبارات، والتغييرات الطارئة، وفصل المهام، وإجراءات مراجعة ما بعد التنفيذ.
كما تتناول الدورة تدقيقات أمن الأنظمة باعتبارها جزءاً من بيئة الضوابط العامة لتكنولوجيا المعلومات. ويقوم المهنيون بفحص كيفية ارتباط الضوابط الأمنية بإدارة الوصول، وإدارة البنية التحتية، ومعالجة الحوادث، وإدارة الثغرات، والمراقبة، والسجلات، والسياسات التنظيمية. ويساعد ذلك على بناء نهج متكامل لتدقيق تكنولوجيا المعلومات بدلاً من التعامل مع كل ضابط بصورة منفصلة.
يعتمد معهد جنيف لإدارة الأعمال في تنظيم الدورة على متطلبات التدقيق المؤسسي، والتقييم القائم على الأدلة، وتقييم الضوابط، وتحديد المخاطر، وتوثيق التدقيق، وإعداد التقارير المهنية. ويناسب هذا النهج المؤسسات التي تسعى إلى تعزيز حوكمة التكنولوجيا، وكذلك المهنيين الذين تشمل مسؤولياتهم التدقيق الداخلي، ومخاطر تكنولوجيا المعلومات، والامتثال، وأمن المعلومات، وضمان التكنولوجيا، أو تقييم الضوابط.
الأهداف
تهدف دورة تدقيق الضوابط العامة لتكنولوجيا المعلومات إلى بناء فهم شامل لكيفية هيكلة الضوابط العامة لتكنولوجيا المعلومات وتنفيذها وتقييمها ومراقبتها ضمن بيئات العمل المؤسسية.
إنشاء إطار قوي لتدقيق الضوابط العامة لتكنولوجيا المعلومات
سيطور المشاركون منهجية منظمة لتدقيق الضوابط العامة لتكنولوجيا المعلومات تشمل تخطيط التدقيق، وتقييم المخاطر، وتحديد الضوابط، والاختبار، وجمع الأدلة، والتقييم، والتوثيق، وإعداد التقارير. ويدعم هذا الإطار إجراء مراجعات متسقة عبر بيئات تقنية وهياكل تنظيمية مختلفة.
تقييم تصميم الضوابط وفعاليتها
تركز الدورة على التمييز بين الضوابط المصممة بصورة مناسبة والضوابط التي تعمل بفعالية في الواقع. وسينظر المدققون في أهداف الضوابط، وملكيتها، وتكرارها، وأدلتها، واتساقها، والاستثناءات، والتعرض للمخاطر عند تقييم أداء الضوابط.
تعزيز اختبار ضوابط الوصول
يطور البرنامج المعرفة العملية بإجراءات تدقيق الوصول. ويشمل ذلك تقييم إنشاء الحسابات، وتعديلها، وإزالتها، والوصول ذي الصلاحيات المرتفعة، وآليات المصادقة، وتعيين الأدوار، والمراجعات الدورية للصلاحيات، والحسابات غير النشطة، وفصل المهام.
ويهدف ذلك إلى إنشاء عملية منهجية لتحديد ما إذا كان المستخدمون يحصلون على صلاحيات مناسبة استناداً إلى متطلبات العمل، وما إذا كانت الصلاحيات تتم إزالتها أو تعديلها عند تغير الظروف.
إجراء مراجعة فعالة لإدارة التغييرات
سيفحص المشاركون بيئة الضوابط المرتبطة بالتغييرات التقنية. ويشمل ذلك مراجعة طلبات التغيير، وإجراءات الموافقة، والاختبارات، وسجلات التنفيذ، والتغييرات الطارئة، والتفويض بالنشر، والأدلة التي تدعم نجاح التنفيذ.
ويهدف ذلك إلى مساعدة المدققين في تحديد ما إذا كانت التغييرات خاضعة للضوابط المناسبة، وما إذا كانت نقاط الضعف يمكن أن تعرض الأنظمة للاضطرابات التشغيلية أو الحوادث الأمنية أو المعالجة غير الدقيقة أو مشكلات الامتثال.
دعم تدقيقات أمن الأنظمة
تطور الدورة منظوراً متكاملاً للضوابط المتعلقة بالأمن. ويدرس المشاركون الضوابط المرتبطة بالوصول إلى الأنظمة، والصلاحيات الإدارية، والمراقبة، والسجلات، وإدارة الحوادث، والسياسات الأمنية، وحماية البنية التحتية، وغيرها من المجالات المرتبطة بضمان التكنولوجيا.
تحسين أدلة التدقيق والتوثيق
يتطلب التدقيق الفعال أدلة كافية وموثوقة. ولذلك تتناول الدورة جمع الأدلة، واعتبارات أخذ العينات، وأوراق عمل التدقيق، وتوثيق اختبار الضوابط، وتسجيل الاستثناءات، والأدلة الداعمة، وإمكانية تتبع إجراءات التدقيق.
تحديد أوجه قصور الضوابط وتقييمها
سيطور المشاركون أساليب لتحديد فجوات الضوابط وتقييم آثارها المحتملة على الأعمال. ويركز البرنامج على ربط نقاط الضعف التقنية بالمخاطر التشغيلية والمالية والامتثالية والأمنية ومخاطر الحوكمة.
تحسين إعداد تقارير التدقيق
تتناول الدورة كيفية إيصال ملاحظات تدقيق تكنولوجيا المعلومات بصورة واضحة إلى الإدارة. ويدرس المشاركون العلاقة بين معايير التدقيق، والحالة الفعلية، والسبب، والأثر، والمخاطر، والأدلة، وخطط الإجراءات الإدارية.
تعزيز حوكمة التكنولوجيا
تربط الدورة بين الضوابط العامة لتكنولوجيا المعلومات ومتطلبات الحوكمة المؤسسية الأوسع. ويمكن لأطر الضوابط العامة القوية دعم المساءلة، وموثوقية الأنظمة، وأمن المعلومات، والامتثال التنظيمي، واستمرارية الأعمال، والثقة في العمليات المعتمدة على التكنولوجيا.
الفئات المستهدفة
صُممت دورة تدقيق الضوابط العامة لتكنولوجيا المعلومات للمهنيين الذين تشمل مسؤولياتهم ضوابط التكنولوجيا، أو التدقيق الداخلي، أو الامتثال، أو المخاطر، أو أمن المعلومات، أو الحوكمة، أو ضمان التكنولوجيا.
المدققون الداخليون
يمكن لمتخصصي التدقيق الداخلي استخدام البرنامج لتعزيز منهجياتهم في مهام تدقيق التكنولوجيا. وتدعم الدورة تطوير إجراءات منظمة لاختبار الضوابط العامة لتكنولوجيا المعلومات وممارسات التوثيق.
مدققو تكنولوجيا المعلومات
يمكن لمدققي تكنولوجيا المعلومات تعميق فهمهم لتقييم الضوابط في مجالات إدارة الوصول، وإدارة التغييرات، وعمليات تكنولوجيا المعلومات، والأمن، وتطوير الأنظمة، وحوكمة التكنولوجيا.
متخصصو المخاطر والامتثال
يمكن لفرق المخاطر والامتثال استخدام الدورة لتقييم المخاطر المرتبطة بالتكنولوجيا وفهم كيفية مساهمة ضوابط تكنولوجيا المعلومات في أطر الامتثال المؤسسية الأوسع.
متخصصو أمن المعلومات
يمكن لمتخصصي الأمن المشاركين في أعمال الضمان أو الحوكمة أو اختبار الضوابط أو تنسيق عمليات التدقيق الاستفادة من فهم كيفية تقييم الضوابط الأمنية من منظور تدقيقي مستقل.
مديرو تكنولوجيا المعلومات وقادة التكنولوجيا
يمكن لمديري تكنولوجيا المعلومات اكتساب فهم أوضح للأدلة، وملكية الضوابط، ومتطلبات الحوكمة، وتوقعات التدقيق المرتبطة بالبيئات التقنية.
متخصصو الحوكمة والضوابط
يمكن للمهنيين المسؤولين عن الحوكمة المؤسسية، أو الرقابة الداخلية، أو الضمان، أو أطر الضوابط تطبيق مفاهيم الدورة عند تقييم العمليات التجارية المعتمدة على التكنولوجيا.
فرق الامتثال والتنظيم
يمكن للمهنيين الذين يدعمون المراجعات التنظيمية استخدام مبادئ الضوابط العامة لتكنولوجيا المعلومات لتعزيز توثيق الضوابط، وإدارة الأدلة، وحوكمة الوصول، والإشراف على التغييرات، وضمان التكنولوجيا.
المدققون الخارجيون ومتخصصو الضمان
يمكن لمتخصصي الضمان الخارجي الاستفادة من فهم أقوى للضوابط العامة لتكنولوجيا المعلومات وعلاقتها بموثوقية الأنظمة، والمخاطر التقنية، والعمليات المالية، وبيئة الضوابط.
المهنيون المنتقلون إلى تدقيق تكنولوجيا المعلومات
تناسب الدورة أيضاً المهنيين الذين ينتقلون من مجالات التدقيق الداخلي، أو المحاسبة، أو المخاطر، أو الامتثال، أو الأمن السيبراني، أو عمليات تكنولوجيا المعلومات إلى مسؤوليات ضمان التكنولوجيا وتدقيق تكنولوجيا المعلومات.
الوحدات التدريبية
الوحدة الأولى: أساسيات تدقيق الضوابط العامة لتكنولوجيا المعلومات
تضع هذه الوحدة هيكل الضوابط العامة لتكنولوجيا المعلومات ودورها ضمن بيئات الضوابط المؤسسية. وتتناول العلاقة بين الضوابط العامة لتكنولوجيا المعلومات، والرقابة الداخلية، ومخاطر التكنولوجيا، والعمليات التجارية، والحوكمة، والامتثال، والضمان.
تشمل المجالات الرئيسية:
- أطر الضوابط العامة لتكنولوجيا المعلومات
- أهداف الضوابط
- تصميم الضوابط وفعاليتها التشغيلية
- نطاق تدقيق تكنولوجيا المعلومات وحدوده
- تحديد المخاطر التقنية
- ملكية الضوابط والمساءلة
- معايير التدقيق ومتطلبات الأدلة
- العلاقة بين الضوابط العامة لتكنولوجيا المعلومات وضوابط الأعمال
الوحدة الثانية: تخطيط تدقيق تكنولوجيا المعلومات وتقييم المخاطر
تركز هذه الوحدة على تطوير منهج قائم على المخاطر لتخطيط تدقيق تكنولوجيا المعلومات. وتتناول كيفية تحديد المدققين لنطاق التدقيق، وتحديد الأنظمة المهمة، وفهم الاعتماد على التكنولوجيا، وتقييم المخاطر الكامنة، وتحديد أولويات الاختبار المناسبة.
تشمل المجالات الرئيسية:
- التخطيط القائم على المخاطر لتدقيق تكنولوجيا المعلومات
- جرد الأنظمة والتطبيقات
- تقييم مخاطر التكنولوجيا
- تحديد الأنظمة الحرجة
- تحديد نطاق التدقيق
- ربط الضوابط بالمخاطر
- مصفوفات المخاطر والضوابط
- إجراءات التدقيق واستراتيجيات الاختبار
الوحدة الثالثة: ضوابط الوصول وإدارة المستخدمين
تتناول هذه الوحدة الضوابط المصممة لضمان أن الوصول إلى الأنظمة مصرح به ومناسب وخاضع للمراقبة ويتم إلغاؤه عند عدم الحاجة إليه.
تشمل المجالات الرئيسية:
- إنشاء حسابات المستخدمين
- طلبات الوصول
- الموافقة على الوصول
- الوصول القائم على الأدوار
- تعديلات المستخدمين
- ضوابط إنهاء الوصول
- الحسابات غير النشطة
- الوصول ذي الصلاحيات المرتفعة
- الحسابات الإدارية
- ضوابط المصادقة
- فصل المهام
- اعتماد صلاحيات الوصول بصورة دورية
الوحدة الرابعة: اختبار ضوابط الوصول
توفر هذه الوحدة منهجية منظمة لاختبار ضوابط الوصول. وتركز على كيفية اختيار المدققين للأدلة، ومراجعة قوائم المستخدمين، وتقييم صلاحيات الوصول، وتحديد الاستثناءات، وتحديد ما إذا كانت الضوابط تعمل وفقاً للمتطلبات الموثقة.
تشمل المجالات الرئيسية:
- تحليل قوائم الوصول
- اختيار العينات
- اختبار صلاحيات المستخدمين
- اختبار الحسابات ذات الصلاحيات المرتفعة
- ضوابط انضمام الموظفين وانتقالهم وإنهاء خدماتهم
- اختبار فصل المهام
- اعتماد الوصول وإعادة التصديق عليه
- تحليل الاستثناءات
- توثيق أدلة التدقيق
- التحقق من المعالجة
الوحدة الخامسة: مراجعة إدارة التغييرات
تتناول هذه الوحدة الضوابط التي تحكم التعديلات على التطبيقات، وقواعد البيانات، والبنية التحتية، والإعدادات، وأنظمة الإنتاج.
تشمل المجالات الرئيسية:
- بدء طلبات التغيير
- تصنيف التغييرات
- تقييم المخاطر
- ضوابط الموافقة
- التطوير والاختبار
- إجراءات قبول المستخدم
- النشر في بيئة الإنتاج
- التغييرات الطارئة
- فصل مسؤوليات التطوير والإنتاج
- توثيق التغييرات
- مراجعة ما بعد التنفيذ
الوحدة السادسة: عمليات تكنولوجيا المعلومات وضوابط موثوقية الأنظمة
تغطي هذه الوحدة الضوابط التشغيلية التي تدعم استقرار خدمات التكنولوجيا وموثوقيتها واستمراريتها.
تشمل المجالات الرئيسية:
- ضوابط المعالجة الدفعية
- جدولة المهام
- مراقبة الأنظمة
- إدارة الحوادث
- إدارة المشكلات
- إجراءات النسخ الاحتياطي
- عمليات الاستعادة
- الاحتفاظ بالبيانات
- السجلات التشغيلية
- مراقبة السعة
- ضوابط توفر الخدمات
الوحدة السابعة: تدقيقات أمن الأنظمة
تتناول هذه الوحدة منظور التدقيق تجاه أمن الأنظمة وحماية التكنولوجيا. وتركز على كيفية تقييم المدققين للضوابط الأمنية وربط نقاط الضعف الأمنية بمخاطر الأعمال.
تشمل المجالات الرئيسية:
- حوكمة الأمن
- سياسات أمن الأنظمة
- ضوابط المصادقة
- إدارة الوصول ذي الصلاحيات المرتفعة
- المراقبة الأمنية
- السجلات ومسارات التدقيق
- ضوابط الحوادث الأمنية
- إدارة الثغرات
- ضوابط الإعدادات
- إدارة الاستثناءات الأمنية
الوحدة الثامنة: البنية التحتية لتكنولوجيا المعلومات والضوابط المادية
تتناول هذه الوحدة الضوابط المرتبطة بالبنية التحتية التقنية والبيئات المادية. وتوضح كيفية تقييم المدققين لوسائل الحماية التي تدعم الأنظمة والأصول التقنية المهمة.
تشمل المجالات الرئيسية:
- ضوابط مراكز البيانات
- الوصول المادي
- الضوابط البيئية
- إدارة البنية التحتية
- ضوابط الشبكات
- حماية الأجهزة
- إدارة الوسائط
- البنية التحتية للنسخ الاحتياطي
- مراقبة البنية التحتية
- أدلة الأمن المادي
الوحدة التاسعة: ضوابط تطوير الأنظمة وتنفيذها
تراجع هذه الوحدة الضوابط التي تدعم تطوير الأنظمة وشرائها واختبارها وتنفيذها وتعديلها.
تشمل المجالات الرئيسية:
- حوكمة التطوير
- إدارة المتطلبات
- ضوابط الاختبار
- ضمان الجودة
- قبول المستخدم
- الموافقة على النشر
- تنفيذ الأنظمة
- ضوابط نقل البيانات
- ضوابط بيئة التطوير
- فصل بيئة التطوير عن بيئة الإنتاج
الوحدة العاشرة: منهجية اختبار الضوابط العامة لتكنولوجيا المعلومات وأدلة التدقيق
تجمع هذه الوحدة العناصر العملية لتدقيق الضوابط العامة لتكنولوجيا المعلومات من خلال دراسة كيفية تخطيط اختبارات الضوابط وتنفيذها وتوثيقها ومراجعتها.
تشمل المجالات الرئيسية:
- إجراءات اختبار الضوابط
- كفاية الأدلة
- موثوقية الأدلة
- أخذ العينات
- التتبع التفصيلي
- الفحص
- الملاحظة
- إعادة التنفيذ
- توثيق الاستثناءات
- جودة أوراق العمل
- استنتاجات الاختبار
الوحدة الحادية عشرة: أوجه قصور الضوابط وتقييم المخاطر
تركز هذه الوحدة على تحليل نقاط ضعف الضوابط وتحديد أهميتها ضمن بيئة الأعمال الأوسع.
تشمل المجالات الرئيسية:
- أوجه قصور الضوابط
- تحليل الأسباب الجذرية
- تقييم أثر المخاطر
- الاحتمالية والعواقب
- الضوابط التعويضية
- استجابات الإدارة
- خطط المعالجة
- اختبارات المتابعة
- إغلاق الملاحظات
الوحدة الثانية عشرة: إعداد تقارير تدقيق تكنولوجيا المعلومات والتواصل مع الإدارة
تركز الوحدة الأخيرة على إيصال نتائج تدقيق تكنولوجيا المعلومات بصورة واضحة ومنظمة مهنياً.
تشمل المجالات الرئيسية:
- نتائج التدقيق
- الملاحظات القائمة على الأدلة
- معايير الضوابط
- الحالات المحددة
- الآثار والمخاطر
- الأسباب الجذرية
- التوصيات
- استجابات الإدارة
- خطط الإجراءات
- إعداد التقارير للإدارة العليا
- التواصل مع لجنة التدقيق
- المتابعة وتتبع المعالجة
الأسئلة الشائعة
1. ماذا يشمل تدقيق الضوابط العامة لتكنولوجيا المعلومات؟
يشمل تدقيق الضوابط العامة لتكنولوجيا المعلومات تقييم الضوابط التقنية التي تدعم أمن الأنظمة، وإدارة الوصول، وإدارة التغييرات، وعمليات تكنولوجيا المعلومات، وتطوير الأنظمة، والبنية التحتية، والنسخ الاحتياطي، والاستعادة، وحوكمة التكنولوجيا.
2. لماذا يعد اختبار ضوابط الوصول مهماً في تدقيق تكنولوجيا المعلومات؟
يساعد اختبار ضوابط الوصول على تحديد ما إذا كان المستخدمون يمتلكون صلاحيات مناسبة للأنظمة، وما إذا كان الوصول مصرحاً به ويتم مراقبته وتعديله وإلغاؤه بصورة صحيحة. كما يمكن أن يكشف عن الصلاحيات المفرطة، والوصول غير المناسب، والحسابات غير النشطة، ومشكلات فصل المهام.
3. ماذا تتضمن مراجعة إدارة التغييرات؟
تتضمن مراجعة إدارة التغييرات عادةً فحص طلبات التغيير، وتقييم المخاطر، والموافقات، والاختبارات، وأدلة التنفيذ، والتغييرات الطارئة، وفصل المهام، وإجراءات ما بعد التنفيذ.
4. كيف ترتبط تدقيقات أمن الأنظمة بالضوابط العامة لتكنولوجيا المعلومات؟
يمكن لتدقيقات أمن الأنظمة تقييم الضوابط المرتبطة بالأمن والتي تشكل جزءاً من بيئة الضوابط العامة لتكنولوجيا المعلومات الأوسع. وقد تشمل هذه الضوابط المصادقة، والوصول ذي الصلاحيات المرتفعة، والمراقبة، والسجلات، وحوكمة الأمن، وإدارة الحوادث، وضوابط الإعدادات.
5. من يمكنه الاستفادة من دورة تدقيق الضوابط العامة لتكنولوجيا المعلومات؟
تناسب الدورة المدققين الداخليين، ومدققي تكنولوجيا المعلومات، ومتخصصي المخاطر، ومتخصصي الامتثال، ومتخصصي أمن المعلومات، ومديري تكنولوجيا المعلومات، ومتخصصي الحوكمة، والمدققين الخارجيين، وغيرهم من المهنيين المشاركين في ضمان ضوابط التكنولوجيا.
