Boshqalarga o'zgartirishlar

AT va umumiy AT boshqaruv vositalaridan foydalanishdan kelib chiqadigan xavflarni aniqlash
Noto'g'ri qo'lda aralashuv.
17. AT ilovalari auditor tomonidan ATdan kelib chiqadigan xatarlarga duchor bo'lganligi aniqlanganda, identifikatsiyalangan AT
ilovasi tomonidan qayta ishlangan ma'lumotlarni saqlaydigan ma'lumotlar bazasi(lar)i odatda aniqlanadi. Xuddi shunday, IT-
ilovaning ishlash qobiliyati ko'pincha operatsion tizimga bog'liq bo'lganligi sababli va AT ilovalari va ma'lumotlar bazalariga
to'g'ridan-to'g'ri operatsion tizimdan kirish mumkin bo'lganligi sababli, operatsion tizim odatda AT dan foydalanishdan kelib
chiqadigan xavflarga duch keladi. Tarmoq identifikatsiyalangan AT ilovalari va tegishli ma'lumotlar bazalariga kirishning
markaziy nuqtasi bo'lsa yoki IT ilovasi internet orqali sotuvchilar yoki tashqi tomonlar bilan o'zaro aloqada bo'lganda yoki veb-
ga asoslangan AT ilovalari auditor tomonidan aniqlanganda aniqlanishi mumkin.
AT ilovalariga yoki AT muhitining boshqa jihatlariga kerakli o'zgarishlar kiritilmaganligi.
19. Auditorning ruxsatsiz kirish masalasini ko'rib chiqishi ichki yoki tashqi tomonlar tomonidan ruxsatsiz kirish bilan bog'liq risklarni
o'z ichiga olishi mumkin (ko'pincha kiberxavfsizlik risklari deb ataladi). Bunday risklar moliyaviy hisobotga ta'sir qilishi shart
emas, chunki korxonaning AT muhiti operatsion yoki muvofiqlik ehtiyojlarini qondiradigan AT ilovalari va tegishli ma'lumotlarni
ham o'z ichiga olishi mumkin. Shuni ta'kidlash kerakki, kiber hodisalar odatda birinchi navbatda perimetr va ichki tarmoq
qatlamlari orqali sodir bo'ladi, ular moliyaviy hisobotlarni tayyorlashga ta'sir qiluvchi IT-ilova, ma'lumotlar bazasi va operatsion
tizimlardan keyinchalik olib tashlanadi. Shunga ko'ra, agar xavfsizlikning buzilishi to'g'risidagi ma'lumotlar aniqlangan bo'lsa,
auditor odatda bunday buzilish moliyaviy hisobotga qay darajada ta'sir ko'rsatishi mumkinligini ko'rib chiqadi.
AT ilovalariga yoki IT muhitining boshqa jihatlariga ruxsatsiz o'zgartirishlar.
Asosiy fayllardagi ma'lumotlarga ruxsatsiz o'zgartirishlar.
infratuzilma ma'lumotlar bazalari, operatsion tizim va tarmoqni o'z ichiga oladi. Ma'lumotlar bazalari AT ilovalari tomonidan
ishlatiladigan ma'lumotlarni saqlaydi va ko'plab o'zaro bog'liq ma'lumotlar jadvallaridan iborat bo'lishi mumkin. Ma'lumotlar
bazalaridagi ma'lumotlarga to'g'ridan-to'g'ri ma'lumotlar bazasini boshqarish tizimlari orqali AT yoki ma'lumotlar bazasini
boshqarish imtiyozlariga ega bo'lgan boshqa xodimlar tomonidan kirish mumkin. Operatsion tizim apparat, IT ilovalari va
tarmoqda ishlatiladigan boshqa dasturlar o'rtasidagi aloqalarni boshqarish uchun javobgardir. Shunday qilib, AT ilovalari va
ma'lumotlar bazalariga bevosita operatsion tizim orqali kirish mumkin. Tarmoq AT infratuzilmasida ma'lumotlarni uzatish va
umumiy aloqa havolasi orqali axborot, resurslar va xizmatlarni almashish uchun ishlatiladi. Tarmoq, shuningdek, asosiy
manbalarga kirish uchun odatda mantiqiy xavfsizlik qatlamini (operatsion tizim orqali yoqilgan) o'rnatadi.
•
•
Machine Translated by Google

---

77
107/202-sahifa
ISA 315 (2019-yilda qayta koÿrib chiqilgan)
ISA 250 (qayta ko'rib chiqilgan)
20. Bundan tashqari, korxonaning moliyaviy hisobotiga bevosita yoki bilvosita ta'sir ko'rsatishi mumkin bo'lgan qonunlar va me'yoriy
hujjatlar ma'lumotlarni himoya qilish to'g'risidagi qonun hujjatlarini o'z ichiga olishi mumkin. Korxonaning bunday qonunlar
yoki qoidalarga muvofiqligini hisobga oladigan bo'lsak, 250-sonli ISA (Qayta ko'rib chiqilgan)77 ga muvofiq , tashkilot
tegishli qonunlar yoki qoidalarni hal qilish uchun amalga oshirgan AT jarayonlari va umumiy AT nazoratini tushunishni o'z
ichiga olishi mumkin.
22. Umuman olganda, IT-ilovalar va ma'lumotlar bazalari bilan bog'liq umumiy AT boshqaruvlarining ko'proq soni IT muhitining
boshqa jihatlariga qaraganda aniqlanishi mumkin. Chunki bu jihatlar ob'ektning axborot tizimida axborotni qayta ishlash va
saqlash bilan eng yaqindan bog'liqdir. Umumiy AT nazoratini aniqlashda auditor ham oxirgi foydalanuvchilar, ham
korxonaning AT xodimlari yoki AT xizmati provayderlari harakatlari ustidan nazoratni ko‘rib chiqishi mumkin.
Agar moliyaviy hisobotga ta'sir ko'rsatishi mumkin bo'lsa, auditor moliyaviy hisobotdagi mumkin bo'lgan noto'g'ri
ma'lumotlarning mumkin bo'lgan ta'sirini yoki ko'lamini aniqlash uchun tegishli nazorat vositalarini tushunish va sinovdan
o'tkazishga qaror qilishi yoki tashkilot xavfsizlikning bunday buzilishi bilan bog'liq ravishda tegishli tushuntirishlarni taqdim
etganligini aniqlashi mumkin.
21. Umumiy AT nazorati AT dan foydalanish natijasida yuzaga keladigan xavflarni bartaraf etish uchun amalga oshiriladi. Shunga
ko'ra, auditor aniqlangan AT ilovalari va AT muhitining boshqa jihatlari va AT dan foydalanishdan kelib chiqadigan tegishli
xavflarni aniqlash uchun umumiy AT nazoratini aniqlashda olingan tushunchalardan foydalanadi. Ba'zi hollarda korxona
o'zining AT muhitida yoki ma'lum AT ilovalarida umumiy AT jarayonlaridan foydalanishi mumkin, bu holda AT dan
foydalanishdan kelib chiqadigan umumiy xavflar va umumiy AT nazorati aniqlanishi mumkin.
23. 6-ilovada AT muhitining turli jihatlari uchun odatda qo'llaniladigan umumiy AT boshqaruvlari mohiyatining qo'shimcha
tushuntirishlari keltirilgan. Bundan tashqari, turli AT jarayonlari uchun umumiy AT nazorati misollari keltirilgan.
Machine Translated by Google

---

(a) kirishni boshqarish jarayoni:
(a) Ilovalar
2. Mavjud bo'lishi mumkin bo'lgan AT jarayoni tomonidan tashkil etilgan umumiy AT boshqaruvlariga misollar:
muhit:
Tarmoq darajasidagi umumiy AT boshqaruvlari odatda tarmoq segmentatsiyasi, masofaviy kirish va
autentifikatsiya bilan bog'liq AT dan foydalanishdan kelib chiqadigan xavflarni hal qiladi. Agar tashkilot
moliyaviy hisobotda veb-ilovalarga ega bo'lsa, tarmoq boshqaruvi tegishli bo'lishi mumkin. Tarmoq boshqaruvi,
shuningdek, korxonada muhim biznes hamkorlari yoki uchinchi tomon autsorsingiga ega bo'lgan taqdirda
ham tegishli bo'lishi mumkin, bu esa ma'lumotlarni uzatishni va masofadan turib ulanishga bo'lgan ehtiyojni oshirishi mumkin.
kirish.
1. AT ning har bir jihati uchun odatda amalga oshiriladigan umumiy AT boshqaruvlarining tabiati
(d) tarmoq
Ushbu ilovada umumiy AT nazoratini tushunishda auditor e'tiborga olishi mumkin bo'lgan qo'shimcha masalalar keltirilgan.
Operatsion tizim darajasidagi umumiy AT boshqaruvlari odatda ma'muriy kirish bilan bog'liq bo'lgan AT dan
foydalanishdan kelib chiqadigan xavflarni ko'rib chiqadi, bu esa boshqa boshqaruv elementlarini bekor qilishni
osonlashtiradi. Bunga boshqa foydalanuvchining hisob ma'lumotlarini buzish, yangi, ruxsatsiz foydalanuvchilarni
qo'shish, zararli dasturlarni yuklash yoki skriptlarni yoki boshqa ruxsatsiz dasturlarni bajarish kabi harakatlar kiradi.
(Ma'lumot: 25(c)(ii), A173ÿA174-band)
(c) Operatsion tizim
o
Foydalanuvchining AT ilovasiga yoki AT muhitining boshqa jihatlariga kirishini taÿminlaydigan boshqaruv elementlari foydalanuvchining
oÿz login hisob maÿlumotlaridan foydalanishini (yaÿni, foydalanuvchi boshqa foydalanuvchining hisobga olish maÿlumotlaridan
foydalanmayotganini) taÿminlaydi.
Ma'lumotlar bazasi darajasidagi umumiy AT nazorati odatda ma'lumotlar bazasiga to'g'ridan-to'g'ri kirish yoki
skript yoki dasturni bajarish orqali ma'lumotlar bazasidagi moliyaviy hisobot ma'lumotlarini ruxsatsiz yangilash
bilan bog'liq AT dan foydalanish bilan bog'liq xavflarni hal qiladi.
(b) ma'lumotlar bazasi
Autentifikatsiya
AT ilovasi sathida umumiy AT boshqaruvlari ilova funksionalligining tabiati va darajasiga hamda texnologiyada ruxsat
etilgan kirish yo‘llariga bog‘liq bo‘ladi. Masalan, faqat tranzaktsiyalar orqali kirish usullari bilan hisoblar qoldig'ining oz
sonini qo'llab-quvvatlaydigan eski AT-ilovadan ko'ra murakkab xavfsizlik opsiyalariga ega yuqori darajada integratsiyalangan
AT-ilovalar uchun ko'proq boshqaruv mos keladi.
108/202-sahifa
ISA 315 (2019-yilda qayta koÿrib chiqilgan)