أهمية تدقيق أنظمة المعلومات - الكاتب رشيد يحيى الحداد

 أهمية تدقيق أنظمة المعلومات

رشيد يحيى الحداد (CISA)

صادرة من المدقق الداخلي مجلة متخصصة صادرة عن جمعية المراجعين الداخليين اليمنية العدد الثاني

كثير من الناس يسأل ما الذي أقوم به كمدقق نظم معلومات؟ للجواب على ذلك ما يلي:

أهمية أمن المعلومات

شركات كثيرة، بغض النظر عن حجمها أو نشاطها، قد أدركت أهمية استخدام أنظمة المعلومات لتواكب التطور التكنولوجي العالمي، ولإدراكها الفوائد العديدة التي قد تعود به هذه الأنظمة على نشاطها، لذا قامت هذه الشركات بالاستثمار في مجال أنظمة المعلومات لتكون جزء من أدواتها الإدارية في تنظيم وإدارة أعمالها، الأمر الذي يحتم على إدارة تلك الشركات الأخذ بعين الاعتبار حاجتها للتأكد من مدى الثقة والأمان لهذه الأنظمة وأنها غير معرضة للاختراق أو التلاعب.

تكمن أهمية أمن المعلومات في ثلاث مكونات رئيسية هي: سرية البيانات وسلامتها وتوفرها. سرية البيانات تعني حمايتها من أن تقع في أيدي أطراف غير مخولين بالاطلاع عليها، حيث إن بيانات ككشوفات الحسابات البنكية، المعاملات السرية، بيانات الموظفين وغيرها ينبغي أن تكون خاصة وسرية، وحماية مثل هذه البيانات يعد من المهام الأساسية لأمن المعلومات.

تشير سلامة البيانات إلى حمايتها من أن يتم تعديلها أو التلاعب بها من قبل أطراف غير مصرح لهم بذلك، فالمعلومات تعتبر ذات قيمة فقط في حال لم يتم التلاعب بها، حيث أن كلفة المعلومات التي تم التلاعب بها قد تكون كبيرة جداً، ويتجلى ذلك بشكل كبير إذا قمت بعمل حركة مالية بقيمة 10,000 دولار أمريكي وقام شخص آخر بتعديلها إلى 100,000 دولار أمريكي. لذلك فإن حماية البيانات من العبث بها يعتبر من الإجراءات المهمة في أمن المعلومات.

تشير توافر المعلومات إلى التأكد من إمكانية ومقدرة الأشخاص المصرح لهم من الوصول إلى البيانات في أي وقت وعند الحاجة، ولهذا تتيح بعض الشركات لمستخدميها الوصول إلى البيانات في أي وقت عن طريق شبكة الإنترنت، وفي ظل اتباع ذلك الأسلوب فإن عدم تمكن المستخدمين من الوصول إلى تلك البيانات يعد من الأنواع الشائعة للهجوم الإلكتروني المعروف بالحرمان من الخدمة (Denial-of-service “DoS”).

إضافة إلى ذلك، هناك عدة أسباب أخرى قد لا تمكن المستخدمين من الوصول إلى البيانات، منها على سبيل المثال الكوارث الطبيعية مثل الفيضانات والزلازل، والحوادث مثل: انقطاع التيار الكهربائي أو الحريق أو غيرها. وعليه، فإن من أساسيات ضمان توافر البيانات، القيام بإعداد خطط بديلة للطوارئ، وعمل نسخ احتياطية، حيث ينبغي من الناحية المثالية تخزين البيانات احتياطياً في مكان بعيد نسبياً لضمان سلامتها، مع الأخذ بعين الاعتبار عند تحديد المسافة الوقت الذي قد تستغرقه عملية استرداد تلك البيانات.

ولأهمية أمن المعلومات، فإن وظيفة تدقيق أنظمة المعلومات تقوم بعملية جمع وتقييم الأدلة لتحديد ما إذا كانت أنظمة المعلومات المستخدمة، والموارد ذات الصلة، تساهم على نحو كافٍ في حماية أصول المنشأة والحفاظ على سرية وسلامة وتوفر البيانات واستمرارية عمل النظام بما يضمن تحقيق أهداف المنشأة بفعالية، والاستخدام الكفء للموارد. بالإضافة إلى التأكد من أن تلك الأنظمة تشتمل على ضوابط الرقابة الداخلية الضرورية لتوفير ضمانات معقولة بأن أهداف المنشأة التجارية والتشغيلية والرقابية سيتم تحقيقها، وأن هذه الضوابط بإمكانها منع أي أحداث غير مرغوب فيها من الحدوث، أو اكتشافها وتصحيحها في الوقت المناسب. وعلاوة على ذلك التأكد من مدى الامتثال للمتطلبات القانونية والتنظيمية والمعايير ذات الصلة بأنظمة المعلومات.

ومن المفيد جداً عند تصميم وتطبيق الأنظمة أن يشترك مدققو أنظمة المعلومات منذ مرحلة التصميم والتركيب الأولي للنظام وذلك لضمان الالتزام بمكونات أمن المعلومات الرئيسة (السرية والسلامة والتوفر). وبالتالي يمكن تلخيص دور مدقق أنظمة المعلومات على أنه المشاركة في اختيار وتطوير أنظمة معلومات للتأكد من أن الضوابط الرقابية المناسبة قد تم تطبيقها، وتدقيق أنظمة المعلومات القائمة، وتوفير الدعم الفني للمدققين الآخرين، وتوفير الخدمات الاستشارية الخاصة بمخاطر أنظمة المعلومات.

تعد مشاركة مدقق نظم المعلومات في مرحلة اختيار الأنظمة ذات فائدة كبيرة قد تساعد في بناء وتعزيز الثقة والسمعة العامة لأي شركة ترغب في التوسع أو الدخول في أسواق جديدة. فإذا افترضنا دخول شركة في سوق جديد، وقررت إدارة الشركة أن خفض التكاليف هي الأولوية، وبناءً عليه قام مدير الشركة باختيار أرخص أنظمة المعلومات المتوفرة ليتم تطبيقها، مع عدم الأخذ بعين الاعتبار جوانب الضعف في هذه الأنظمة والتي قد لا يكون على علم بها. فعند تطبيق هذا النظام قد لا يتم مراعاة ضوابط أنظمة المعلومات المختلفة، مما قد ينتج عنه تطبيق نظام قابل للتلاعب وفي حال حصول أي حادثة وتم نشر هذه الحادثة في الأخبار، قد تتعرض هذه الشركة إلى مخاطر خسارة سمعتها أو أيً من عملائها، ومن المعروف أن كلفة التعامل مع الحوادث الأمنية السلبية في الأخبار هو أكثر بكثير من كلفة منع حدوثها في المقام الأول، وقد تعني خسارة سمعة الشركة أن المنافسين قد كسبوا أكبر قاعدة من العملاء وأكبر هامش من الربح.

عملية تدقيق أنظمة المعلومات:

تنقسم عمليات تدقيق أنظمة المعلومات بحسب الغرض من التدقيق إلى ثلاثة أنواع رئيسة:

- التدقيق بغرض دعم تدقيق البيانات المالية.

- التدقيق بغرض تقييم مدى الامتثال للقوانين المعمول بها والسياسات والمعايير المرتبطة بأنظمة المعلومات.

- أخيراً يمكن لتدقيق أنظمة المعلومات أيضاً أن يكون بغرض تقييم الأداء (أو ما يعرف العائد من الاستثمار) حيث يتم التدقيق بغرض طمأنة الأطراف ذات العلاقة أن أنظمة المعلومات المطبقة تشكل قيمة للأموال المستثمرة فيها.

تشتمل الخطوات العامة المتبعة خلال عملية تدقيق أنظمة المعلومات على تحديد أهداف ونطاق التدقيق، ووضع خطة التدقيق لتحقيق تلك الأهداف، وجمع وتقييم المعلومات الخاصة بضوابط الرقابة الداخلية ذات الصلة بأنظمة المعلومات، وإجراء الفحوصات اللازمة، وأخيراً إصدار التقرير النهائي والذي يشمل الملاحظات التي تم التوصل إليها، والتوصيات المقترحة لمعالجتها. بالإضافة إلى ذلك، قد تكون هناك مرحلة المتابعة وذلك لمعرفة ما إذا تم تنفيذ أياً من توصيات فريق التدقيق وكذلك لمعالجة أي قضايا جديدة.

عند القيام بعملية التدقيق، يعتمد مدقق أنظمة المعلومات على بعض الأدوات العامة والأدلة الفنية وغيرها من الموارد التي أوصت بها (جمعية ضبط وتدقيق نظم المعلومات – الآيزاكا) أو أي هيئة أخرى معتمدة. ولهذا فإن العديد من شركات التدقيق تشجع موظفيها وتساعدهم في الحصول على الشهادات ذات الصلة مثل شهادة مدقق نظم معلومات معتمد (CISA) التي يتم منحها من قبل جمعية الآيزاكا.

نظراً لاتساع نطاق تدقيق أنظمة المعلومات يمكننا تلخيص أهم المجالات التي ينبغي أن يشملها تدقيق أنظمة المعلومات إلى ما يلي: سياسات ومعايير المنشأة، هيكلية وإدارة مرافق أنظمة المعلومات، البيئة الافتراضية وأماكن وجود الأجهزة الرئيسة التي تعمل في إطارها أجهزة الحاسوب، خطط الطوارئ، أمن المعلومات، عمليات البرامج والأنظمة، عمليات تطوير الأنظمة والتطبيقات، مراجعة تطبيقات وصلاحيات الوصول للمستخدم النهائي، وغيرها.

التعاون مع مدققي أنظمة المعلومات:

منذ فترة طويلة يتم النظر للمدققين (بشكل عام) على أنهم أشخاص مهمتهم فقط العثور على الأخطاء التي ارتكبها الموظفون، وهي نفس النظرة إلى حدٍ ما بالنسبة لمدققي أنظمة المعلومات، ولهذا ليس غريباً أن يواجه المدقق بعض الموظفين غير المتعاونين، وهذا أمر مؤسف جداً، لأن مدققي أنظمة المعلومات (مثل أي مدققين آخرين) مهمتهم ليست تصيد الأخطاء أو أن يجعل من تنفيذ الأعمال أكثر تعقيداً، ولكن تكمن مهمتهم في الاستماع، والمراقبة، وتحديد أي جوانب قد تكون معرضة للخطر من أجل تطويرها وتحسينها مما يجعل تنفيذ الأعمال أسهل للجميع بعد ذلك.

ولهذا يجب تشجيع مديري أنظمة المعلومات وغيرهم من الموظفين على التعاون مع مدققي أنظمة المعلومات وأن يتم النظر إلى عملية التدقيق كفرصة لتطوير أمن وموثوقية أنظمة المعلومات. بالإضافة إلى ذلك، ينبغي اعتبار توصيات فريق التدقيق كنصائح استشارية، فوظيفة المدقق تعد بمثابة وظيفة استشارية، وعليه فإن الإدارة مسؤولة عن وضع السياسات الأمنية المناسبة وتنفيذ التوصيات الصادرة عن مدقق أنظمة المعلومات، وعليها أن تأخذ في عين الاعتبار أن التدقيق وسيلة لتحسين الأداء، وليست للعقاب.

وبناءً على ما سبق نخلص إلى أن عملية تدقيق أنظمة المعلومات تعد ذات أهمية كبيرة، لأنها تعطي تأكيدات أن أنظمة المعلومات محمية بشكل كاف، توفر معلومات موثوقة للمستخدمين تدار بشكل صحيح لتحقق المنافع المرجوة منها، كما أنها تقلل من مخاطر العبث بالبيانات، فقدانها أو تسريبها، توقف الخدمة، وسوء إدارة أنظمة تكنولوجيا المعلومات.

المراجع:

- نظم المعلومات المحاسبية – د. عبد الملك حجر