Kiểm toán quản lý tài khoản và quyền truy cập người dùng trong doanh nghiệp.

Xác định các đường truy cập cần nằm trong phạm vi

Đoàn cần hiểu dữ liệu và hệ thống liên quan mục tiêu, rồi xác định các danh tính có thể tiếp cận hoặc thao tác. Tài khoản người dùng, quản trị, dịch vụ và đối tác có đặc điểm khác nhau. Phạm vi phải thể hiện loại nào được xem và vì sao, thay vì mặc nhiên chỉ lấy tài khoản nhân viên trên nguồn tập trung.

Quyền có thể đến từ nhóm, vai trò, cấp trực tiếp hoặc chia sẻ tài nguyên. Tài khoản đăng nhập được vô hiệu hóa ở một nguồn chưa chắc xử lý mọi đường còn lại. Đoàn cần hiểu cách liên kết danh tính và cơ chế quản lý trên ứng dụng, đồng thời giữ rõ giới hạn tiếp cận bằng chứng.

Tiêu chí cần bám yêu cầu tổ chức và nghĩa vụ áp dụng. Những điều như thẩm quyền phê duyệt, thời điểm thu hồi và rà quyền phải được xác định, không tự gán thời hạn theo thông lệ cá nhân. Nếu tiêu chí chưa đủ rõ, đoàn cần xem tính phù hợp và trao đổi cách đánh giá thay vì tạo phát hiện tuân thủ thiếu căn cứ.

CIS Control 5 và Control 6 cung cấp góc nhìn về quản lý tài khoản và quyền truy cập, gồm cả tài khoản quản trị và dịch vụ. Đây là nguồn tham khảo để xem phạm vi kiểm soát, không tự thay bộ tiêu chí của cuộc kiểm toán. Kiểm toán viên phải lựa chọn phần liên quan mục tiêu và hiện trạng.

Nội dung kiểm toán IT giúp đội ngũ chuyển các đường truy cập thành chương trình phù hợp. Mục tiêu phải rõ trước khi thu dữ liệu, để tránh yêu cầu quá nhiều thông tin nhạy cảm nhưng vẫn không đủ phần phục vụ kết luận.

Kiểm tra tổng thể trước khi đối chiếu hoặc chọn mẫu

Nguồn nhân sự giúp biết tình trạng nhiệm vụ, nhưng không chứa mọi người có quyền trong hệ thống. Đối tác hoặc tài khoản dịch vụ có thể không nằm trong danh sách này. Ngược lại, danh sách tài khoản có thể có nhiều tên cho một người. Đoàn phải hiểu mã nhận diện và cách nối nguồn trước khi phân tích.

Mỗi tệp xuất cần phạm vi, thời điểm, điều kiện lọc và người chịu trách nhiệm. Nếu nguồn chỉ lấy người đăng nhập gần đây, các tài khoản không hoạt động nhưng vẫn còn quyền có thể bị bỏ. Tính đầy đủ phải được xác nhận bằng thủ tục phù hợp, không chỉ dựa vào việc đơn vị nói đã xuất theo yêu cầu.

Đối chiếu nên phân biệt trạng thái không rõ với sai lệch đã xác nhận. Một tên không khớp có thể do thay đổi mã hoặc cách ghi, chưa tự là tài khoản không có chủ. Đoàn cần xác minh với đầu mối và bằng chứng, tránh đưa kết quả phân tích thô thành phát hiện cuối cùng.

Việc lấy mẫu phải bám mục tiêu và đặc điểm tổng thể. Các sự kiện cấp mới, đổi vai trò, kết thúc nhiệm vụ hoặc sử dụng quyền đặc biệt có thể cần cách lựa chọn khác nhau. Không nên chọn một mẫu từ tất cả tài khoản rồi coi nó đại diện mọi loại quy trình. Phương pháp và giới hạn kết luận phải được ghi.

Nhóm quản trị vận hành IT giúp giải thích nguồn và cơ chế kỹ thuật. Đoàn kiểm toán vẫn phải đánh giá độ tin cậy của dữ liệu, đối chiếu phù hợp và không tự thực hiện thao tác làm thay đổi quyền trên môi trường sản xuất khi chưa có cơ chế được phép.

Đánh giá thiết kế từ nhu cầu tới quyết định cấp quyền

Thiết kế cần cho thấy ai xác nhận nhiệm vụ và ai phê duyệt phạm vi. Nhân sự có thể cung cấp sự kiện, nhưng chủ nghiệp vụ hoặc chủ dữ liệu thường cần xác nhận quyền phục vụ công việc. Một luồng có chữ ký của người không hiểu quyền đang cấp có thể chưa đáp ứng mục tiêu, dù thủ tục hành chính đầy đủ.

Đoàn cần xem vai trò chuẩn và ngoại lệ. Sao chép quyền từ người tương tự có thể mang theo quyền tích lũy không cần thiết. Nếu đó là cách cấp phổ biến, kiểm toán phải hiểu có bước xác nhận hay rà phù hợp nào không. Không kết luận chỉ từ tên vai trò mà bỏ tổ hợp quyền thực tế.

Với quyền quản trị, cần chủ trách nhiệm, mục đích và điều kiện sử dụng rõ. Phân tách tài khoản hoặc cấp có giới hạn có thể là biện pháp phù hợp tùy môi trường. Đoàn đánh giá thiết kế theo rủi ro và tiêu chí, không áp một công nghệ duy nhất như điều kiện mặc định cho mọi doanh nghiệp.

Rà quyền cần đủ thông tin cho người xác nhận. Một bảng toàn mã nhóm kỹ thuật có thể khiến chủ nghiệp vụ ký mà không hiểu khả năng thao tác. Cần xem cách giải thích quyền, nguồn dữ liệu và hành động khi phát hiện không phù hợp. Bước rà có lịch và chữ ký chưa tự tạo hiệu lực phát hiện.

Bảng là gợi ý tổ chức chương trình, không ấn định một số mẫu hay thời hạn. Những tài khoản có đặc điểm riêng cần được xử lý theo điều kiện tương ứng. Phạm vi kiểm toán phải đủ để biết kết luận nói về nhóm nào và phần nào chưa được xem.

Kiểm tra vận hành theo từng sự kiện trong kỳ

Đoàn chọn các trường hợp phù hợp rồi nối từ đầu vào tới quyền thực tế. Với cấp mới, cần xem quyết định có trước và quyền có đúng phạm vi. Với đổi vai trò, cần kiểm tra cả phần được thêm lẫn phần không còn cần. Với kết thúc nhiệm vụ, cần đối chiếu các hệ thống liên quan và thời điểm theo tiêu chí.

Một yêu cầu đã đóng có thể vẫn còn phần chưa xử lý ở ứng dụng riêng. Đoàn cần xem ai xác nhận và bằng chứng nào cho trạng thái hoàn tất. Nếu công việc do đối tác thực hiện, hồ sơ phải thể hiện cách nhận xác nhận phù hợp; không dùng ranh giới tổ chức để bỏ phần quyết định mức hiệu lực của quy trình.

Các quyền tạm và ngoại lệ cần được xem điều kiện kết thúc. Nếu tự gia hạn hoặc không có người theo dõi, quyền có thể tiếp tục vượt nhu cầu. Đoàn xác nhận lý do, thẩm quyền và kết quả xử lý, tránh coi mọi ngoại lệ là sai nhưng cũng không nhận nhãn ngoại lệ như bằng chứng đủ.

Năng lực quản lý bảo mật thông tin giúp chủ kiểm soát nối yêu cầu bảo vệ với cách thực hiện. Kiểm toán dùng thông tin này để hiểu và xác minh, đồng thời giữ xét đoán độc lập về việc cơ chế có đạt mục tiêu trong kỳ hay không.

Một tình huống: rà quyền có chữ ký nhưng thiếu phần chia sẻ trực tiếp

Trong tình huống giả định, một SaaS được rà quyền theo danh sách thành viên nhóm chuẩn. Chủ nghiệp vụ ký xác nhận và mọi hành động đề nghị đều được ghi hoàn tất. Khi đoàn xem cách lấy dữ liệu, họ nhận ra danh sách không chứa các quyền chia sẻ trực tiếp tại một số tài nguyên.

Một tài khoản đối tác đã hết nhu cầu vẫn tiếp cận được hồ sơ qua đường chia sẻ này. Không phải chủ nghiệp vụ đã nhìn quyền đó rồi chấp nhận; nó chưa xuất hiện trong đầu vào rà. Đoàn cần xác định phạm vi và tiêu chí trước khi kết luận về thiết kế cùng vận hành của hoạt động rà quyền.

Nhóm kiểm toán mở thủ tục phù hợp với dấu hiệu, không tự suy ra mọi tài nguyên đều có sai lệch. Họ đối chiếu nguồn bổ sung và xem trách nhiệm quản lý chia sẻ. Báo cáo làm rõ phần đầu vào chưa đầy đủ, phạm vi rủi ro và ảnh hưởng tới mức tin cậy của kết quả rà trước.

Quản lý cập nhật cách thu dữ liệu và hướng dẫn người rà, cùng hành động xử lý các quyền không phù hợp đã xác nhận. Theo dõi sau đó cần bằng chứng phạm vi bổ sung đã được sử dụng và các sai lệch được xử lý, không chỉ tài liệu mới được gửi. Tình huống giả định cho thấy chữ ký đầy đủ không bù được dữ liệu đầu vào thiếu.

Kết luận theo mục tiêu và giữ rõ giới hạn

Phát hiện quyền quá rộng cần căn cứ nhu cầu và tiêu chí, không chỉ cảm giác của người kiểm tra. Đoàn phải xác định quyền cho phép điều gì, ai còn nhiệm vụ và kiểm soát khác có tác động ra sao. Khi chưa đủ thông tin, tiếp tục xác minh hoặc giữ giới hạn, không trình nhận định sơ bộ như một vi phạm chắc chắn.

Mẫu sai lệch cần được phân tích ảnh hưởng tới kết luận và nhu cầu công việc bổ sung. Không mặc nhiên suy rộng tỷ lệ hoặc bỏ qua vì số ít. Những quyền có tác động lớn cần được xét theo mức quan trọng, còn phần được kiểm soát bởi cơ chế khác phải được xác nhận bằng bằng chứng phù hợp.

Cách nhìn quản lý rủi ro IT giúp báo cáo giải thích hậu quả và ưu tiên. Hành động khắc phục phải nối với nguyên nhân như danh mục thiếu, đầu vào chậm hoặc phê duyệt chưa đủ thông tin. Kiểm toán có giá trị khi kết luận chỉ đúng phạm vi tin cậy và giúp tổ chức sửa cơ chế, thay vì chỉ thu hồi một danh sách quyền trong mẫu.

Bài viết liên quan

• Thiết lập mục tiêu, phạm vi và tiêu chí cho một cuộc kiểm toán nội bộ IT.
• Đánh giá thiết kế và hiệu quả vận hành của các biện pháp kiểm soát IT.
• Kiểm toán IT General Controls: Quyền truy cập, thay đổi hệ thống và vận hành IT.
• Đánh giá kiểm soát thay đổi chương trình, cấu hình và môi trường sản xuất.

Nguồn tham khảo

1. CIS — Critical Security Control 5: Account Management
2. CIS — Critical Security Control 6: Access Control Management
3. The IIA — Global Internal Audit Standards, 2024