साइबर सुरक्षा में 20 साल ने मुझे ऑडिट के बारे में क्या सिखाया

मैंने साइबर सुरक्षा में बीस साल बिताए हैं, और उस समय का एक बड़ा हिस्सा ऑडिट में गुज़रा है: उनकी तैयारी करना, उनमें बैठना, निष्कर्षों पर बहस करना और जो खामियाँ उजागर हुईं उन्हें ठीक करना। फ़्रेमवर्क कई बार बदल चुके हैं। ये सबक नहीं बदले।

1. साक्ष्य कथा से बेहतर है

सबसे आम ऑडिट निष्कर्ष कोई गायब नियंत्रण नहीं होता। यह ऐसा नियंत्रण होता है जो लागू किया गया था, पर उसे साबित नहीं किया जा सकता। एक्सेस समीक्षा हुई, पर सूची किसी ने सहेजी नहीं। बदलाव को एक चैट थ्रेड में मंज़ूरी मिली, जो अब मिटाया जा चुका है। ऑडिटर केवल उन्हीं पर भरोसा कर सकते हैं जो वे देख सकें। ऐसे नियंत्रण बनाइए जो काम करते समय अपने आप साक्ष्य छोड़ जाएँ, और ज़्यादातर निष्कर्ष खुद-ब-खुद खत्म हो जाएँगे।

2. दायरा (स्कोप) ही सब कुछ तय करता है

ऑडिट की ज़्यादातर परेशानी दायरे से शुरू होती है: यह इतना चौड़ा खींचा गया हो कि हर सिस्टम को हर नियंत्रण पर खरा उतरना पड़े; या इतना संकरा हो कि प्रमाणपत्र ग्राहक के सवाल का जवाब न दे; या इतना अस्पष्ट हो कि कोई न जाने कौन से सिस्टम गिने जाते हैं। इसे सोच-समझकर तय कीजिए, लिखकर रखिए और उसका बचाव कीजिए। पहली SOC 2 रिपोर्ट का दायरा तय करने पर हमारी पोस्ट लगभग किसी भी ऑडिट पर लागू होती है।

3. जो नियंत्रण विफल होते हैं, वे वही हैं जिनका कोई मालिक नहीं होता

जब किसी नियंत्रण का एक नामित मालिक हो जो उसे अपने काम के हिस्से के रूप में चलाए, तो वह काम करता है। जब वह "IT" या सामान्य तौर पर "सुरक्षा टीम" का हो, तो ऑडिट से ठीक पहले के हफ़्ते तक वह बिगड़ता रहता है। स्वामित्व ही सबसे सस्ता नियंत्रण सुधार है।

4. दस्तावेज़ों को वास्तविकता का वर्णन करना चाहिए

ऐसी टेम्पलेट नीतियाँ जो उस कंपनी का वर्णन करती हैं जो आप हैं ही नहीं, उन छोटी नीतियों से भी बदतर हैं जो उस कंपनी का वर्णन करती हैं जो आप वास्तव में हैं। ऑडिटर वही जाँचते हैं जो आपने लिखा है। दस्तावेज़ और व्यवहार के बीच हर अंतर एक निष्कर्ष बन जाता है, और अक्सर बाकी सब कुछ पर विश्वसनीयता की समस्या भी।

5. ऑडिटर विरोधी के बजाय सहयोगी के रूप में ज़्यादा उपयोगी हैं

सबसे अच्छे चलने वाले ऑडिट वे होते हैं जहाँ टीम ऑडिटर को विरोधी नहीं, बल्कि एक अतिरिक्त जोड़ी आँखों की तरह देखती है। शुरुआत में ही पूछ लीजिए कि वे किसी नियंत्रण की जाँच कैसे करेंगे। ज्ञात कमज़ोरियों को योजना के साथ खुलकर बताइए। वह निष्कर्ष जो आपने खुद उठाया है और जिसका सुधार चल रहा है, उस निष्कर्ष से बिल्कुल अलग पढ़ा जाता है जिसे ऑडिटर को खोदकर निकालना पड़ा हो।

6. दूसरा फ़्रेमवर्क सस्ता होना चाहिए

जो संगठन हर फ़्रेमवर्क के लिए अलग प्रोग्राम चलाते हैं, वे हर ऑडिट का पूरा खर्च उठाते हैं। जो एक नियंत्रण सेट बनाते हैं और उसे उन सभी फ़्रेमवर्क से मैप करते हैं जिनका वे जवाब देते हैं, वे ज़्यादातर एक बार ही भुगतान करते हैं। मैपिंग का काम नीरस है, पर उसका लाभ बढ़ता जाता है। मैंने ControlMapping बनाने का एक बड़ा कारण यही है।

7. अलग फ़्रेमवर्क, वही सवाल

काफ़ी ऑडिट के बाद फ़्रेमवर्क आपस में घुलने-मिलने लगते हैं। ISO ऑडिटर, SOC 2 ऑडिटर, PCI आकलनकर्ता और नियामक अलग-अलग शब्दों का प्रयोग करते हैं, पर वे एक ही मुट्ठी भर सवाल पूछते हैं: क्या दायरे में है, कौन ज़िम्मेदार है, आप कैसे जानते हैं कि वह काम करता है, और जब वह नहीं करता तो क्या होता है? जो संगठन इन चार सवालों का साक्ष्य के साथ स्पष्ट जवाब दे सकता है, वह लगभग किसी भी ऑडिट में अच्छा प्रदर्शन करता है। कवरेज मैट्रिक्स इसका अच्छा उदाहरण है: ग्यारह फ़्रेमवर्क में वही मूल विषय बार-बार सामने आते हैं।

मुख्य सीख

• ऐसे नियंत्रण बनाइए जो एक उप-उत्पाद के रूप में साक्ष्य छोड़ें।
• दायरा सोच-समझकर तय कीजिए और हर नियंत्रण को एक नामित मालिक दीजिए।
• ऑडिट को अच्छी सुरक्षा चलाने के उप-उत्पाद के रूप में देखिए।

8. पास होना लक्ष्य नहीं है

एक साफ़ ऑडिट का मतलब है कि दायरे के नियंत्रण परखे गए नमूनों पर काम कर रहे थे। इसका मतलब यह नहीं कि संगठन सुरक्षित है; अनुपालन सुरक्षा नहीं है। मैंने जिन सबसे अच्छी टीमों को देखा है, वे ऑडिट को अच्छी सुरक्षा चलाने का उप-उत्पाद मानती हैं, उसका उद्देश्य नहीं।

अगर इससे आप एक ही बात लें: तय कीजिए कि आप क्या करते हैं, उसे लगातार कीजिए, और साक्ष्य को अपने आप जमा होने दीजिए। गैप विश्लेषण यह देखने की अच्छी जगह है कि आपके मौजूदा नियंत्रण कहाँ तक पहुँचते हैं।

प्रश्न

ऑडिट निष्कर्षों का सबसे आम कारण क्या है?

मेरे अनुभव में, उन नियंत्रणों के लिए साक्ष्य का गायब या अधूरा होना जो वास्तव में लागू किए गए थे: समीक्षाएँ हुईं पर दर्ज नहीं की गईं, बदलावों को मौखिक रूप से मंज़ूरी मिली, और जनसंख्या (पॉपुलेशन) मेल नहीं खाती।

सुरक्षा ऑडिट की तैयारी आपको कैसे करनी चाहिए?

नियंत्रणों को लगातार चलाइए और साथ-साथ उनका साक्ष्य रखिए, जाँचिए कि दस्तावेज़ व्यवहार से मेल खाते हैं, और ऑडिटर से पहले खुद एक नमूने की जाँच कर लीजिए।

क्या हमें ऑडिटर को उन कमज़ोरियों के बारे में बताना चाहिए जो हम पहले से जानते हैं?

आम तौर पर, हाँ। जो कमज़ोरी आपने पहचानी है, जिसके साथ एक ज़िम्मेदार व्यक्ति और सुधार योजना है, वह एक कार्यरत नियंत्रण वातावरण का संकेत देती है। जो कमज़ोरी ऑडिटर खुद खोजता है, वह निगरानी में कमी के रूप में पढ़ी जाती है।