SOX nie jest samodzielnym standardem cyberbezpieczeństwa. Jej znaczenie pojawia się, gdy ryzyka i kontrole technologiczne wpływają na sprawozdawczość finansową, certyfikacje kierownicze, rejestry, procesy ujawniania lub skuteczność wewnętrznej kontroli nad sprawozdawczością finansową.
Sekcje 302 i 404 napędzają odpowiedzialności kierownictwa za kontrole ujawniania, certyfikacje i ocenę wewnętrznej kontroli nad sprawozdawczością finansową. Kontrole dostępu, zmian, interfejsów, kopii zapasowych, przetwarzania zadań i incydentów mogą zatem wejść w zakres, gdy awarie mogłyby spowodować istotne zniekształcenie sprawozdania finansowego lub podważyć wymagane ujawnienia.
Najważniejsze punkty
Zacznij od ryzyka finansowegoPrześledź istotne finansowo konta, twierdzenia, systemy, przepływy danych, raporty, organizacje usługowe i zależności technologiczne przed wyborem kontroli.
Testuj istotne kontroleZdefiniuj własność, częstotliwość, dowody, precyzję, kompletność populacji, obsługę wyjątków i remediację dla kontroli, na których opiera się ocena.
Koordynuj incydentyOceniaj, czy zdarzenie cybernetyczne wpływa na rejestry finansowe, wnioski o kontroli wewnętrznej, kontrole ujawniania lub decyzje o istotności; osobno oceń mające zastosowanie reguły ujawniania cyberbezpieczeństwa Securities and Exchange Commission.
Istotne ograniczenieNazwanie kontroli „zgodną z SOX" nie dowodzi cyberbezpieczeństwa ani zgodności prawnej. Zakres i wnioski zależą od emitenta, ryzyk sprawozdawczości finansowej, istotności, oceny audytora i aktualnego prawa; wymagany jest wykwalifikowany przegląd księgowy i prawny.