IT 감사 3/e

1부. 감사 개요

1장. 내부IT감사기능의 효율적 구축
__내부감사부서의 임무(우리가 여기에 있는 이유?)
__독립성: 위대한 신화
__공식감사 이외의 가치 추가
__경영자문감사
__경영자문감사를 위한 4가지 방법
__조기참여
__비공식감사
__지식 공유
__자체평가
__계속감사
__공식감사 이외의 가치 창출에 대한 최종 생각
__관계의 구축: 협력 파트너가 될 것인가? 치안 경찰이 될 것인가?
__협력 파트너십 구축을 위한 학습
__IT감사팀의 역할
__애플리케이션 감사인(또는 통합 감사인)
__데이터 추출과 분석 전문가
__IT감사인
__효과적인 IT감사팀의 구성과 유지
__경력직 IT감사인
__IT전문가
__경력 IT감사인과 IT전문가: 최종 생각
__공동 소싱
__전문지식의 유지
__학습의 원천
__외부감사인과 내부인증기능의 관계
__요약

2장. 감사업무의 진행과정
__내부통제
__내부통제의 유형
__내부통제의 예
__감사대상의 결정
__감사 모집단의 정의
__감사 모집단의 순위 정하기
__감사대상의 결정: 최종 생각
__감사의 진행 단계
__계획수립
__감사 현장업무의 실시와 문서화
__문제점의 발견과 타당성 검증
__해법의 개발
__보고서 초안 작성과 발행
__문제점의 추적
__기준
__요약

2부. 감사 기법

3장. 전사적 수준 통제
__배경지식
__전사적 수준 통제 감사를 위한 테스트 단계
__지식 베이스
__종합 체크리스트

4장. 사이버보안 프로그램
__배경지식
__사이버보안 프로그램 감사단계
__지식 베이스
__종합 체크리스트

5장. 데이터센터와 재해복구
__배경지식
__데이터센터 감사의 기본사항
__물리적 보안과 환경관리
__시스템과 사이트 복구
__데이터센터 운영
__재해대비
__데이터센터 감사를 위한 테스트 단계
__주변과 외부의 위험 요소
__물리적 접근통제
__환경관리
__전력과 전기
__화재진압
__데이터센터 운영
__시스템 복원력
__데이터 백업과 복원
__재해복구계획
__지식 베이스
__종합 체크리스트

6장. 네트워킹 장치
__배경지식
__네트워크 감사의 요점
__프로토콜
__OSI 모델
__라우터와 스위치
__LAN, VLAN, WAN, WLAN
__방화벽
__스위치, 라우터, 방화벽의 감사
__네트워크 장비에 대한 일반적 감사단계
__추가 스위치 통제: 계층 2
__추가 라우터 통제: 계층 3
__추가 방화벽 통제
__무선 네트워크 장비에 대한 추가 통제
__도구와 기술
__지식 베이스
__종합 체크리스트

7장. 윈도우 서버
__배경지식
__윈도우 감사 기본 사항
__커맨드라인
__기본적인 커맨드라인 도구
__공통적인 명령
__서버 관리 도구
__감사의 실시
__윈도우 감사를 위한 테스트 단계
__초기 단계
__계정관리
__사용 권한관리
__네트워크 보안과 통제
__보안 모니터링과 기타의 일반통제
__도구와 기술
__지식 베이스
__종합 체크리스트

8장. 유닉스와 리눅스 운영체제
__배경지식
__유닉스와 리눅스 감사 기본 사항
__주요 개념
__파일 시스템 레이아웃과 내비게이션
__파일 시스템의 사용 권한
__사용자와 인증
__네트워크 서비스
__유닉스와 리눅스 감사를 위한 테스트 단계
__계정관리
__사용 권한관리
__네트워크 보안과 통제
__보안 모니터링과 기타 일반통제
__도구와 기술
__네트워크 취약점 스캐너
__NMAP
__악성코드 탐지 도구
__패스워드 강도의 유효성 검증 도구
__호스트 기반 취약점 스캐너
__Shell/Awk/etc
__지식 베이스
__종합 체크리스트

9장. 웹 서버와 웹 애플리케이션
__배경지식
__웹 감사의 기본 사항
__다중 구성 요소에 대한 일회 감사
__1부: 호스트 운영체제 감사를 위한 테스트 단계
__2부: 웹 서버 감사를 위한 테스트 단계
__3부: 웹 애플리케이션 감사를 위한 테스트 단계
__웹 애플리케이션에 대한 추가적 감사단계
__도구와 기술
__지식 베이스
__종합 체크리스트

10장. 데이터베이스
__배경지식
__데이터베이스 감사의 기본 사항
__일반적인 데이터베이스 공급업체
__데이터베이스 구성 요소
__NoSQL 데이터베이스 시스템
__데이터베이스 감사를 위한 테스트 단계
__초기 단계
__운영체제 보안
__계정관리
__사용 권한관리
__데이터 암호화
__보안 로그 모니터링과 관리
__도구와 기술
__감사 도구
__모니터링 도구
__암호화 도구
__지식 베이스
__종합 체크리스트

11장. 빅데이터와 데이터 리포지터리
__배경지식
__빅데이터와 데이터 리포지터리 감사의 기본 사항
__빅데이터와 데이터 리포지터리 감사를 위한 테스트 단계
__지식 베이스
__종합 체크리스트

12장. 스토리지
__배경지식
__스토리지 감사 기본 사항
__주요 스토리지 구성 요소
__스토리지 핵심 개념
__스토리지 감사를 위한 테스트 단계
__초기 단계
__계정관리
__스토리지 관리
__암호화와 권한관리
__보안 모니터링과 기타의 일반통제
__지식 베이스
__종합 체크리스트

13장. 가상화 환경
__배경지식
__상용과 오픈소스 프로젝트
__가상화 감사 기본 사항
__가상화 감사를 위한 테스트 단계
__초기 단계
__계정관리와 자원의 설치/제거
__가상 환경의 관리
__보안 모니터링과 추가적인 보안통제
__지식 베이스
__하이퍼바이저
__도구
__종합 체크리스트

14장. 최종 사용자 컴퓨팅 기기
__배경지식
__1부: 윈도우와 맥 클라이언트 시스템 감사
__윈도우와 맥 감사 기본 사항
__윈도우와 맥 클라이언트 시스템 감사를 위한 테스트 단계
__도구와 기술
__지식 베이스
__2부: 모바일 장치 감사
__모바일 장치 감사 기본 사항
__모바일 장치 감사를 위한 테스트 단계
__추가 고려 사항
__도구와 기술
__지식 베이스
__종합 체크리스트

15장. 애플리케이션
__배경지식
__애플리케이션 감사의 기본 사항
__애플리케이션 감사를 위한 테스트 단계
__입력통제
__인터페이스 통제
__감사증적과 보안 모니터링
__계정관리
__사용 권한관리
__소프트웨어 변경통제
__백업과 복구
__데이터 보존, 분류, 사용자 참여
__운영체제, 데이터베이스, 기타 인프라 통제
__종합 체크리스트

16장. 클라우드 컴퓨팅과 아웃소싱 운영
__배경지식
__클라우드 컴퓨팅, 아웃소싱 운영 감사의 기본 사항
__IT 시스템, 소프트웨어, 인프라 아웃소싱
__IT 서비스 아웃소싱
__IT 서비스 아웃소싱의 기타 고려 사항
__제3자 보고서와 증명
__아웃소싱 운영, 클라우드 컴퓨팅 감사를 위한 테스트 단계
__초기 단계
__공급업체의 선정과 계약
__계정관리와 데이터보안
__운영과 거버넌스
__법적 고려 사항과 법규 준수
__도구와 기술
__지식 베이스
__종합 체크리스트

17장. 회사 프로젝트
__배경지식
__프로젝트 감사의 기본 사항
__높은 수준의 프로젝트 감사목표
__프로젝트 감사의 기본 접근법
__워터폴과 애자일 소프트웨어 개발 방법론
__프로젝트 감사의 7가지 주요 부분
__회사 프로젝트 감사를 위한 테스트 단계
__프로젝트 전반 관리
__프로젝트 시작, 요구사항의 수집과 초기 설계
__상세 설계와 시스템 개발
__테스트
__구현 활동
__교육훈련
__프로젝트 마무리
__지식 베이스
__종합 체크리스트

18장. 신기술과 기타 기술
__배경지식
__신기술과 기타 기술 감사의 기본 사항
__범용 프레임워크
__모범 실무
__신기술과 기타 기술 감사를 위한 테스트 단계
__초기 단계
__계정관리
__사용 권한관리
__네트워크 보안과 통제
__보안 모니터링, 기타 일반통제
__종합 체크리스트

3부. 프레임워크, 표준, 규제 법규, 위험관리

19장. 프레임워크와 표준
__내부IT통제, 프레임워크, 표준의 소개
__COSO
__COSO의 내부통제 정의
__내부통제의 주요 개념
__내부통제 통합 프레임워크
__전사적 위험관리 통합 프레임워크
__내부통제와 기업 위험관리 간행물 사이의 관계
__IT지배구조
__IT지배구조 성숙도 모델
__COBIT
__ITIL
__ITIL 개념
__ISO 27001
__ISO 27001 개념
__NIST 사이버보안 프레임워크
__NSA INFOSEC 평가 방법론
__NSA INFOSEC 평가 방법론 개념
__사전 평가 국면
__현장 활동 국면
__평가 후 국면
__프레임워크와 표준의 동향
__지식 베이스

20장. 규제 법규
__내부통제 관련 입법 소개
__법규의 IT감사에 대한 영향
__기업재무 규제의 역사
__2002년 제정된 사베인스-옥슬리법
__사베인스-옥슬리법이 상장기업에 미치는 영향
__SOX법의 핵심 포인트
__IT부서에 대한 SOX법의 영향
__여러 위치에 있는 회사의 SOX법 고려 사항
__SOX법 규정 준수에 대한 제3자 서비스의 영향
__SOX법 규정 준수에 필요한 특정 IT통제
__SOX법 준거가 회사에 미치는 재무적 영향
__그램-리치-브라일리법
__GLBA 요구사항
__연방금융기관검사협의회
__일반데이터보호규정
__기타 프라이버시 규정
__캘리포니아 보안침해 정보법(SB 1386)
__캘리포니아 소비자 프라이버시법
__캐나다 개인정보보호 및 전자문서법
__프라이버시 법규의 동향
__병원 진료기록정보 보호법
__HIPAA 개인정보보호와 보안 규칙
__하이테크법
__적용 대상에 대한 HIPAA의 영향
__EU와 바젤 II
__바젤 II 자본협약
__결제 카드업계 데이터보안 표준
__결제 카드 산업에 대한 PCI의 영향
__기타 규제 법규의 동향
__지식 베이스

21장. 위험관리
__위험관리의 이익
__경영진의 시각에서 본 위험관리
__정량적 위험분석과 정성적 위험분석
__정량적 위험분석
__위험의 구성 요소
__실제 적용 예
__위험에 대한 대책
__부정확성의 일반적 원인
__정량적 위험분석의 실무
__정성적 위험분석
__IT 위험관리 순환 사이클
__국면 1: 정보자산의 식별
__국면 2: 위협의 정량화와 정성화
__국면 3: 취약점 평가
__국면 4: 통제 결함의 개선
__국면 5: 잔여위험관리
__제3자 위험
__위험의 식별
__위험평가
__개선책
__모니터링과 보고
__수식의 요약
__지식 베이스