การตรวจสอบไอที (IT Audit)

การตรวจสอบไอที(IT Audit) ดร.ครรชิต มาลัยวงศ์ ราชบัณฑิต ประธานคณะอนุกรรมการ ค.ต.ป. กลุ่มจังหวัดภาคตะวันออกเฉียงเหนอ

เนื้อหาคำบรรยาย 1 สร้างความเข้าใจเกี่ยวกับความเสี่ยงด้านไอที การปฏิบัติงานไอทีที่เหมาะสม 2 3 การพัฒนาคุณภาพการบริหารจัดการภาครัฐ หมวด 4 ความหมายของการตรวจสอบไอที (IT Audit) 4 วิธีการตรวจสอบไอที 5 สรุป 6

ความหมายของระบบงานไอทีความหมายของระบบงานไอที • ระบบงานไอที คือ ระบบที่นำบุคคล, อุปกรณ์และสิ่งต่าง ๆ ที่เกี่ยวข้องเข้ามาร่วมกันทำงานเพื่อใช้ในการจัดเก็บข้อมูล, ประมวลผล และ ให้บริการสารสนเทศที่จำเป็นแก่ผู้ใช้อย่างมีประสิทธิภาพ, ประสิทธิผล, และ มีความมั่นคงปลอดภัยสูง สามารถป้องกันการบุกรุกจากภายในและภายนอกหน่วยงานได้. • ระบบงานไอที ประกอบด้วย ฮาร์ดแวร์ (เซิรฟเวอร์, คอมพิวเตอร์, โทรศัพท์มือถือ), ระบบเครือข่ายภายในและระบบอินเทอร์เน็ต, ซอฟต์แวร์, ฐานข้อมูล, คู่มือการใช้งาน, และ บุคลากรที่เกี่ยวข้อง

การปฏิบัติงานเกี่ยวกับระบบงานไอทีการปฏิบัติงานเกี่ยวกับระบบงานไอที ใช้ระบบผ่านเครือข่าย บันทึกข้อมูล บุกรุก, ทำลาย ส่งรายงาน ควบคุม, สั่งงาน Backup/Recovery สร้าง

การจัดการความเสี่ยง • ทุกหน่วยงานอาจประสบปัญหาที่ไม่คาดคิดได้ตลอดเวลา ปัญหาเหล่านี้ก็คือ “ความเสี่ยง” • ผู้บริหารจะต้อง “จัดการความเสี่ยง” ของหน่วยงานด้วยการ • ศึกษาความเสี่ยงในรูปแบบต่าง ๆ • พิจารณาโอกาสที่จะเกิดปัญหาและผลกระทบจากปัญหา • วางแผนจัดการความเสี่ยงด้วยการ ขจัดความเสี่ยง, หลีกเลี่ยงความเสี่ยง, ลดความเสี่ยง, หรือ ยอมความเสี่ยงให้เกิดขึ้น • วางแผนฉุกเฉินเพื่อรับมือกับปัญหาที่เกิด • วางแผนการบรรเทาผลกระทบจากปัญหา • วางแผนการนำหน่วยงานกลับคืนสู่สภาพปกติโดยเร็วที่สุด.

ความเสี่ยงเกี่ยวกับระบบไอทีความเสี่ยงเกี่ยวกับระบบไอที • การพัฒนาระบบสารสนเทศ • ไม่ทราบความต้องการของผู้ใช้ • ระบบมีฟังก์ชันงานไม่ครบถ้วนเท่าที่ควรจะเป็น • ผู้พัฒนาไม่มีความรู้พอเพียง (ด้านเทคโนโลยี, การพัฒนา, การเขียนโปรแกรม) • ออกแบบระบบผิดพลาด • ระบบมีความผิดพลาดเพราะตรวจสอบโปรแกรมไม่ครบถ้วน • ผู้พัฒนาแอบฝังโปรแกรมอันตรายเอาไว้ เพื่อลักลอบส่งข้อมูลออก, สั่งให้คอมพิวเตอร์ทำงานผิดพลาด, สั่งให้ลบข้อมูล, ฯลฯ

ความเสี่ยงเกี่ยวกับระบบไอทีความเสี่ยงเกี่ยวกับระบบไอที • การใช้ระบบ (ทั้งที่เป็นเรื่องการใช้ และ การพัฒนาไม่เหมาะสม) • ผู้ใช้ที่ไม่ได้รับมอบหมายให้ใช้งาน กลับสามารถเข้าใช้ระบบได้ • การบันทึกข้อมูลไม่ครบ, ผิดพลาดหรือบกพร่อง • การใช้งานผิดพลาด=>ต้องการอย่างหนึ่ง แต่ทำอีกอย่างหนึ่ง • คู่มือการใช้ผิดพลาด • โปรแกรมไม่สามารถถอยหลังกลับไปสู่จุดตั้งต้นก่อนทำงาน • ไม่สามารถตรวจสอบได้ว่าทำงานอะไรเสร็จไปบ้างแล้ว • การจัดทำรายงานผิดพลาด • ผู้ใช้ไม่สามารถค้นคืน หรือ เรียกใช้ข้อมูลที่ต้องการ

ความเสี่ยงเกี่ยวกับระบบไอทีความเสี่ยงเกี่ยวกับระบบไอที • ความเสี่ยงเกี่ยวกับอุปกรณ์ • คอมพิวเตอร์และอุปกรณ์ไม่สามารถทำงานร่วมกันได้ • คอมพิวเตอร์และอุปกรณ์มีสมรรถนะต่ำ ทำให้ทำงานช้ามาก • คอมพิวเตอร์และอุปกรณ์เสียหายเพราะไม่ได้รับการบำรุงรักษาอย่างถูกวิธี • คอมพิวเตอร์และอุปกรณ์ถูกโจรกรรม • คอมพิวเตอร์และอุปกรณ์ถูกทำลายโดยผู้บุกรุก • การนำคอมพิวเตอร์และอุปกรณ์ไปจำหน่าย โดยไม่ได้ลบข้อมูลในฮาร์ดดิสก์ออกก่อน • คอมพิวเตอร์และอุปกรณ์เปลี่ยนแปลงก้าวหน้าเร็วมาก แต่เราไม่ได้ปรับปรุงเครื่องของเราทำให้ไม่สามารถใช้งานร่วมกับหน่วยงานอื่นได้

ความเสี่ยงจากภายนอก • ระบบไอทีอาจประสบปัญหาได้หลายเรื่อง เช่น... • การถูกบุกรุกโดยบุคคลภายนอกเข้ามาโจรกรรมอุปกรณ์ในยามวิกาล หรือในช่วงที่ไม่มีใครดูแลห้องอุปกรณ์ • การถูกไวรัสก่อกวนโดยไวรัสนั้นมาจากระบบอินเทอร์เน็ต, อีเมล, โปรแกรมที่ดาวน์โหลดจากอินเทอร์เน็ต, เกม, flash drive และอื่น ๆ • การตั้งวางอุปกรณ์ และ แผ่นซีดี ไว้บนโต๊ะทำงานโดยเปิดเผย และไม่ได้ปิดระบบก่อนลุกไปจากโต๊ะทำงาน • แฮคเกอร์บุกรุกเข้ามาทางระบบอินเทอร์เน็ต หรือเครือข่ายภายในเพื่อทำลายระบบ, ซอฟต์แวร์, เว็บ และ ข้อมูล หรือ แอบซุกซ่อนโปรแกรมเอาไว้เพื่อส่งข้อมูลของสำนักงานออกไปให้คนภายนอก

ความเสี่ยงจากอุบัติภัย • อุบัติภัยทั้งที่เกิดโดยธรรมชาติหรือโดยมนุษย์อาจจะเกิดได้... • เพลิงไหม้สำนักงาน ทำให้ระบบและอุปกรณ์ต่าง ๆ เสียหาย • น้ำท่วมสำนักงาน ทำให้ระบบและอุปกรณ์ต่าง ๆ เสียหาย • หลังคารั่วทำให้น้ำฝนตกลงมาบนตัวเครื่องและอุปกรณ์ • วาตภัยอาจทำให้สำนักงานและระบบเสียหาย • อุบัติเหตุระหว่างขนย้ายอุปกรณ์อาจเกิดได้ เช่น รถยนต์ถูกชน, รถตกถนน, ทำเครื่องหลุดตกจากมือระหว่างการขนย้าย, เครื่องถูกโจรกรรมระหว่างการขนย้าย,

ความเสี่ยงจากบุคลากรภายในความเสี่ยงจากบุคลากรภายใน • พนักงาน, ข้าราชการ, หรือผู้เกี่ยวข้องก็มีความเสี่ยง... • พนักงานและบุตรหลานอาจจะนำเกมจากบ้านมาเล่นในคอมพิวเตอร์ • พนักงานอาจจะก๊อปปี้ข้อมูลไปให้บุคคลภายนอก • พนักงานหรือข้าราชการที่ไม่พอใจสำนักงานหรือผู้บังคับบัญชาอาจจะแอบทำลายข้อมูลหรืออุปกรณ์ภายใน • การใช้โปรแกรมที่ไม่ได้รับการฝึกอบรมการใช้มาอย่างดีอาจทำให้เกิดปัญหากับข้อมูลได้ • ผู้บริหารไม่ยอมใช้คอมพิวเตอร์เอง แต่มอบอำนาจให้พนักงานใช้แทน อาจทำให้เกิดปัญหาได้มากมาย • พนักงานอาจจะแอบแก้ไขโปรแกรมและข้อมูลระหว่างการทำงาน

การปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไรการปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไร • ผู้บริหารสนใจใช้ระบบไอทีเป็นเครื่องมือในการบริหาร • ประกาศนโยบายการใช้คอมพิวเตอร์และระบบอย่างเป็นทางการ • มีแผนการดำเนินงานประจำปี • มีการจัดสรรทรัพยากรให้พอเพียงแก่ความจำเป็น และ แผนงาน • บุคลากรที่ได้รับมอบหมายให้ปฏิบัติงานกับระบบไอทีได้รับการฝึกอบรมในด้านการใช้อย่างถูกวิธี • มีระเบียบการใช้งานไอทีอย่างเหมาะสม เช่น การกำหนดผู้มีสิทธิใช้, การใช้ระบบไอที, การจัดเก็บเอกสารคู่มือ, การสำรองข้อมูล ฯลฯ

การปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไรการปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไร • จัดซื้อจัดหาระบบไอทีอย่างรัดกุมและรอบคอบ • จัดทำสัญญาการจัดซื้อและจัดจ้างเกี่ยวกับระบบไอทีอย่างรอบคอบ • จัดทำระเบียบและขั้นตอนการตรวจรับระบบอย่างรัดกุม (อาจต้องขอความร่วมมือจากผู้รู้ในสถานศึกษาระดับสูง) • จัดเก็บสัญญากับผู้ขายหรือผู้ให้เช่าเอาไว้อย่างเป็นระบบ และ พยายามบริหารให้งานเป็นไปตามสัญญา • จัดทำระบบบัญชีฮาร์ดแวร์, ซอฟต์แวร์, และ ระบบเครือข่าย รวมทั้งจัดทำผังเครือข่ายและการจัดวางระบบคอมพิวเตอร์ (ระบบนี้ไม่ใช่ระบบพัสดุตามปกติ แต่เป็นระบบที่ระบุ Spec ด้านเทคนิคด้วย)

การปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไรการปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไร • จัดวางเซิรฟเวอร์และอุปกรณ์ ตลอดจนเดินสายเคเบิลต่าง ๆ อย่างเป็นระบบและเรียบร้อย • ดูแลให้ห้องเซิรฟเวอร์และอุปกรณ์มีความสะอาด ปราศจากสิ่งของที่ไม่จำเป็นเช่นกระดาษ หรือ สิ่งของอื่น ๆ • ดูแลให้ห้องเซิรฟเวอร์มีระบบปรับอากาศที่เหมาะสม และ เป็นห้องปิดเพื่อไม่ให้ฝุ่นเข้าไป • ดูแลการจัดเก็บแผ่นซีดีที่เป็นต้นฉบับของโปรแกรมต่าง ๆ ที่จัดหาเอง,ได้รับจากกระทรวง หรือ ได้รับบริจาคมาเอาไว้อย่างเป็นระบบ และต้องมีสองชุดแยกจากกัน. นอกจากนั้นยังไม่อนุญาตให้นำแผ่นซีดีต้นฉบับออกไปใช้นอกสำนักงาน

การปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไรการปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไร • จัดหาอุปกรณ์ไฟฟ้าสำรอง (UPS) สำหรับเครื่องเซิรฟเวอร์และคอมพิวเตอร์ที่ใช้ในงานสำคัญเอาไว้ โดยเลือกใช้อุปกรณ์ที่สามารถสำรองไฟฟ้าได้นานพอสำหรับรับมือกับปัญหาไฟฟ้าดับในพื้นที่ • ก่อนปฏิบัติงาน เจ้าหน้าที่จะต้องตรวจสอบความเรียบร้อยของอุปกรณ์ในห้องเซิรฟเวอร์ และ ความพร้อมของอุปกรณ์ • หากการเริ่มใช้มีปัญหา ให้รีบตรวจสอบปัญหาและแก้ไขตามคู่มือปฏิบัติ (ข้อนี้ยังน่าสงสัยว่าหลายสำนักงานอาจไม่มีคู่มือ)

การปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไรการปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไร • รวบรวมคู่มือการใช้อุปกรณ์ และ คู่มือเกี่ยวกับซอฟต์แวร์ เอาไว้ให้ครบถ้วน (คู่มือซอฟต์แวร์ ได้แก่ คู่มือติดตั้งซอฟต์แวร์, คู่มือการใช้ซอฟต์แวร์และแก้ปัญหาซอฟต์แวร์, คู่มือการสำรองระบบ) • จัดทำหมายเลขโทรศัพท์ของผู้เกี่ยวข้องทุกระดับ (ผู้รับผิดชอบงานไอทีที่กระทรวง และ สำนักงานต่าง ๆ, ผู้บริหาร, ผู้ขาย, ผู้เชี่ยวชาญและที่ปรึกษา, พนักงานและเจ้าหน้าที่ทุกคน) • จัดทำหมายเลขโทรศัพท์ของหน่วยงานและบุคคลที่สามารถให้คำปรึกษาได้ในด้านไอที (เนคเทค, บริษัท ทศท, บริษัท กสท., กระทรวงไอซีที, SIPA, สทอภ., บริษัทผู้ค้าที่เราใช้ HW&SW)

การปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไรการปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไร • จัดทำแผนฉุกเฉิน เพื่อรับมือเมื่อเกิดปัญหาด้านไอซีที • สำรองข้อมูลของหน่วยงานเอาไว้ทุกสัปดาห์เป็นอย่างน้อย และให้นำข้อมูลสำรองไปจัดเก็บไว้ในสำนักงานอื่นนอกบริเวณอาคาร • ฝึกการนำข้อมูลสำรองกลับเข้ามาใช้งานแทนข้อมูลที่สมมุติว่าถูกทำลายไปแล้ว (ควรทำอย่างน้อยปีละ 2 ครั้ง) • บันทึกการทำงานรายวัน เช่น เวลาการเปิด-ปิดเซิรฟเวอร์ (ในกรณีที่เปิด-ปิดทุกวัน), การนำซอฟต์แวร์ใหม่เข้าติดตั้ง, การสำรองข้อมูล, การเกิดปัญหาต่าง ๆ เช่น ไฟฟ้าดับเมื่อใด, ดับนานเท่าใด, และ นำเครื่องกลับมาทำงานเมื่อใด หรือ เครื่องใดติดไวรัส, พบเมื่อใด, และกำจัดด้วยโปรแกรมอะไร ฯลฯ

การปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไรการปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไร • มีการตรวจสอบเว็บของสำนักงานทุกวัน (ตรวจว่าเว็บมีปัญหาหรือไม่, ถูกแฮคเกอร์ป่วนหรือไม่, การเชื่อมโยงต่าง ๆ ยังดีอยู่หรือไม่, มีการบันทึกข้อมูลอย่างถูกต้องครบถ้วนหรือไม่) • มีระบบรับแจ้งและบันทึกปัญหาจากผู้ใช้ภายใน พร้อมกับบริการแก้ไขปัญหาให้ผู้ใช้ภายในขอบเขตที่ทำได้ ในกรณีที่เป็นปัญหายุ่งยากให้เรียกใช้บริการผู้ขาย – หากมีสัญญาบำรุงรักษา การบันทึกให้ระบุชื่อผู้ใช้, ปัญหา, การแก้ปัญหา, และระยะเวลาที่ใช้แก้ปัญหา • หากเป็นปัญหาเกี่ยวกับซอฟต์แวร์ ต้องบันทึกให้ละเอียดและส่งให้ผู้เกี่ยวข้องแก้ไข

การปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไรการปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไร • จัดฝึกอบรมให้ผู้ปฏิบัติงานใหม่ (ทั้งผู้ปฏิบัติงานทั่วไปและงานไอที)รับทราบวิธีการปฏิบัติงาน และ การใช้ซอฟต์แวร์ที่ผู้นั้นรับผิดชอบ โดยพนักงานไอทีจะต้องเรียนรู้ไอทีให้เข้มข้น • จัดหาระบบช่วยสอน หรือ Link เชื่อมโยงไปยังแหล่งที่มีระบบช่วยสอนให้ผู้ปฏิบัติงานเข้าไปศึกษา โดยทางฝ่ายไอทีจะต้องจัดเก็บบันทึกว่ามีผู้ใดได้ผ่านการฝึกอบรมไปแล้ว • ร่วมมือกับผู้ตรวจสอบภายใน ในการจัดทำเครื่องมือสำหรับบันทึกข้อมูลการตรวจสอบภายใน (ถ้าถูกร้องขอ)

การปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไรการปฏิบัติงานไอทีที่ดีมีลักษณะอย่างไร • ให้ความร่วมมือกับผู้ตรวจสอบภายในในการตรวจสอบไอที • รวบรวมแหล่งความรู้ใหม่เกี่ยวกับการบริหารงานไอที, เทคนิคเกี่ยวกับการทำงานไอที, การพัฒนาระบบ, การตรวจสอบระบบ, การจัดทำฐานข้อมูล, การสำรองระบบ, โปรแกรมแบบ Open Source ต่าง ๆ • จัดทำรายงานเกี่ยวกับการบริหารและปฏิบัติงานไอทีเสนอผู้บริหารระดับสูงให้ทราบ เพื่อขอคำแนะนำหรือนโยบายเมื่อเกิดปัญหา

การนำองค์กร ผลลัพธ์การดำเนินการ 1 7 การวางแผน เชิงยุทธศาสตร์ 2 การจัดการ กระบวนการ 6 PMQA การให้ความสำคัญ กับผู้รับบริการและ ผู้มีส่วนได้ส่วนเสีย การมุ่งเน้น ทรัพยากรบุคคล 3 5 เกณฑ์คุณภาพการบริหารจัดการภาครัฐ การวัด การวิเคราะห์ และการจัดการความรู้ 4

การตรวจสอบตามมาตรฐาน PMQA หมวด 4 IT1 : จังหวัดต้องมีระบบฐานข้อมูลผลการดำเนินงานตามแผนยุทธศาสตร์และแผนปฏิบัติราชการ รวมทั้งผลการดำเนินงานของตัวชี้วัดตามคำรับรองการปฏิบัติราชการที่ครอบคลุมถูกต้อง และ ทันสมัย การพิจารณา : แสดงระบบฐานข้อมูลผลการดำเนินงานตามแผนยุทธศาสตร์และแผนปฏิบัติราชการ รวมทั้งผลการดำเนินงานของตัวชี้วัดตามคำรับรองการปฏิบัติราชการประจำปี และข้อมูลย้อนหลังอย่างน้อย 3 ปี

การตรวจสอบตามมาตรฐาน PMQA หมวด 4 IT2 : จังหวัดต้องมีระบบฐานข้อมูลเพื่อการพัฒนาจังหวัดที่ครอบคลุม ถูกต้อง และ ทันสมัย การพิจารณา : แสดงระบบฐานข้อมูลศูนยข้อมูลกลางกระทรวงมหาดไทยและจังหวัด ประจำปี และข้อมูลย้อนหลังอย่างน้อย 3 ปี

การตรวจสอบตามมาตรฐาน PMQA หมวด 4 IT3 : จังหวัดต้องมีระบบและสามารถคำนวณสถิติผลิตภัณฑ์มวลรวมจังหวัด (GPP) ที่ครอบคลุม ถูกต้อง และ ทันสมัย การพิจารณา : แสดงระบบฐานข้อมูลสถิติผลิตภัณฑ์มวลรวมจังหวัด (GPP) ประจำปี โดยดำเนินการตามกระบวนการที่กำหนดไว้ 5 ขั้นตอนได้ครบถ้วน

การตรวจสอบตามมาตรฐาน PMQA หมวด 4 IT4 : จังหวัดต้องมีระบบเทคโนโลยีสารสนเทศ เพื่อให้ประชาชนสามารถเข้าถึงข้อมูลข่าวสารได้อย่างเหมาะสม • การพิจารณา : • แสดงรายการและรายละเอียดของข้อมูลข่าวสารที่ประชาชนสามารถสืบค้นหรือขอข้อมูลได้ผ่านทางระบบเทคโนโลยีสารสนเทศ • แนวคิดก็คือ จังหวัดต้องจัดให้มีสถานที่หรือศูนย์ข้อมูลข่าวสารและข้อมูลข่าวสารให้ประชาชนเข้าตรวจดูได้โดยสะดวก, ต้องจัดทำดัชนีหรือรายการข้อมูลข่าวสารที่ประชาชนสามารถสืบค้นได้เองด้วย.

การตรวจสอบตามมาตรฐาน PMQA หมวด 4 IT5 : จังหวัดต้องมีระบบการติดตาม เฝ้าระวังและเตือนภัย (Warning system) เช่น การกำหนดระบบการเตือนภัยแบบสัญญาณไฟจราจร การจัดห้องปฏิบัติการ (Operation Room, Management Cockpit, War Room) ที่บ่งชี้ถึงการเปลี่ยนแปลงที่เกิดขึ้น • การพิจารณา : • แสดงระบบการติดตาม • แสดงระบบการติดตาม เฝ้าระวังและเตือนภัย ประกอบด้วย • การติดตามการดำเนินงานตามยุทธศาสตร์/แผนงาน/โครงการ/ตัวชี้วัด • การเตือนภัยธรรมชาติ • แสดงการรายงานหรือนำเสนอข้อมูลให้ผู้บริหารผ่านระบบ EIS/GIS • แสดงรายละเอียดการปรับปรุงระบบการติดตาม เฝ้าระวัง และเตือนภัยให้มีประสิทธิภาพมากขึ้นกว่าเดิมที่เคยมีอยู่

การตรวจสอบตามมาตรฐาน PMQA หมวด 4 IT6 : จังหวัดต้องมีระบบบริหารความเสี่ยงของระบบฐานข้อมูลและสารสนเทศ • การพิจารณา : • แสดงระบบรักษาความมั่นคงและปลอดภัยของระบบฐานข้อมูลและสารสนเทศ • แสดงระบบรักษาความมั่นคงและปลอดภัยของศูนย์ข้อมูลและสารสนเทศ • แสดงรายละเอียดแผนแก้ไขปัญหาจากสถานการณ์ความไม่แน่นอนและภัยพิบัติที่อาจจะเกิดกับระบบฐานข้อมูลและสารสนเทศ (IT Contingency Plan) • แสดงผลการปฏิบัติตามแผนแก้ไขปัญหาจากสถานการณ์ความไม่แน่นอนและภัยพิบัติที่อาจจะเกิดกับระบบฐานข้อมูลและสารสนเทศ

การตรวจสอบตามมาตรฐาน PMQA หมวด 4 IT7 : จังหวัดต้องจัดทำแผนการจัดการความรู้และนำแผนไปปฏิบัติ • การพิจารณา : • แสดงแผนการจัดการความรู้ (KM Action Plan) อย่างน้อย 3 องค์ความรู้ ตามแนวทางที่กำหนด • รายงานผลการดำเนินงานตามแผน โดยดำเนินกิจกรรมตามแผนการจัดการความรู้ได้สำเร็จครบถ้วนทุกกิจกรรม และสามารถดำเนินการที่ครอบคลุมกลุ่มเป้าหมายได้ไม่น้อยกว่าร้อยละ 90 ในทุกกิจกรรมแลกเปลี่ยนเรียนรู้ที่ระบุไว้

ความหมายของ IT Audit • กระบวนการรวบรวมและพิจารณาหลักฐานต่าง ๆ เพื่อประเมินว่าระบบคอมพิวเตอร์ได้รับการออกแบบให้มีความมั่นคงด้านข้อมูล, มีการปกป้องทรัพย์สิน, ช่วยให้ผู้ใช้สามารถใช้ระบบได้อย่างมีประสิทธิภาพ และ ตอบสนองวัตถุประสงค์และบรรลุเป้าหมายขององค์การได้อย่างมีประสิทธิผล • คำสำคัญในที่นี้คือ • การออกแบบระบบ, • ความมั่นคงด้านข้อมูล, • การปกป้องทรัพย์สิน, • การใช้อย่างมีประสิทธิภาพ, • การบรรลุเป้าหมายอย่างได้ผล

ระบบคอมพิวเตอร์ต้องมีการควบคุมระบบคอมพิวเตอร์ต้องมีการควบคุม • ระบบคอมพิวเตอร์จะทำงานได้อย่างมีประสิทธิภาพและได้ผลตามที่ต้องการต่อเมื่อออกแบบระบบควบคุมการทำงานไว้ด้วย • ระบบควบคุมที่มีเป็นสิ่งที่สะท้อนให้เห็นถึง นโยบาย, กระบวนการทำงาน, วิธีปฏิบัติงาน, และ โครงสร้างขององค์การที่สร้างความเชื่อมั่นได้อย่างมีเหตุผลว่าการปฏิบัติงานจะบรรลุเป้าหมาย • การควบคุมในระบบคอมพิวเตอร์ทำให้มั่นใจในประสิทธิผลและประสิทธิภาพของการปฏิบัติงาน, ความน่าเชื่อถือของการจัดทำรายงานต่าง ๆ และ การดำเนินงานที่สอดคล้องกับกฎเกณฑ์ที่กำหนด

การควบคุมทั่วไป • การควบคุมทั่วไป (General Controls) ประกอบด้วยการควบคุม การปฏิบัติงานของศูนย์ข้อมูล, การจัดหาและบำรุงรักษาซอฟต์แวร์ระบบ (system software = ระบบปฏิบัติการ, utilities ต่าง ๆ ), การควบคุมการเข้าถึงระบบและซอฟต์แวร์, และการพัฒนาซอฟต์แวร์และการบำรุงรักษา • สิ่งที่ต้องมีเป็นอย่างน้อยคือ นโยบายไอที, มาตรฐาน, แผนงาน, แนวทางในการดูแลความมั่นคงของไอที, การปกป้องข้อมูลและสารสนเทศ, การพัฒนาซอฟต์แวร์, การจัดการการเปลี่ยนแปลง, การแบ่งแยกหน้าที่, การวางแผนฉุกเฉิน และ การจัดการโครงการไอที

การควบคุมการประยุกต์ • การควบคุมการประยุกต์ (Application control) หมายถึงการควบคุมที่อยู่ในการประยุกต์แต่ละเรื่อง • การควบคุมประกอบด้วย • การกำหนดสิทธิ์ในการใช้ระบบอย่างเหมาะสม; • ความครบถ้วนสมบูรณ์, • ความแม่นยำถูกต้อง, • ความสมเหตุสมผลของระเบียนข้อมูล; • การบำรุงรักษาข้อมูล, • การสำรองข้อมูล, • การกู้ระบบและข้อมูล, • การจัดทำรายงานปัญหาที่เกิดขึ้น, • การบันทึกผลการดำเนินงานและการใช้ระบบเพื่อตรวจสอบว่ามีการดำเนินงานอย่างถูกต้อง

ความสำคัญของการควบคุมและตรวจสอบไอทีความสำคัญของการควบคุมและตรวจสอบไอที • ปัจจุบันทุกการบริหารและการปฏิบัติงานของทุกหน่วยงานต้องอาศัยระบบไอทีเป็นเครื่องมือสำคัญ ระบบไอทีที่ไม่ได้รับการควบคุมที่ดีอาจทำให้การปฏิบัติงานของหน่วยงานเสียหายได้ • ถ้าไม่มีการควบคุม หน่วยงานอาจละเลยไม่ได้ตรวจสอบวิธีการควบคุมไอทีระบบไอทีที่สำคัญ และทำให้เกิดความเสี่ยงสูงต่อหน่วยงาน • การตรวจสอบไอทีเป็นตัววัดว่าองค์การได้จัดการความเสี่ยงของระบบไอทีมากน้อยเพียงใด ถ้ามีความเสี่ยงสูงก็จะมีผลกระทบต่อการจัดการความเสี่ยงโดยรวมขององค์การ

วิธีการตรวจสอบการควบคุมทั่วไปวิธีการตรวจสอบการควบคุมทั่วไป • พิจารณาความสนใจของผู้บริหาร • ผู้บริหารให้ความสนใจต่องานไอที=>ใช้ไอทีด้วยตัวเอง, หรือ ใช้รายงานที่ได้รับจากไอที, ผลักดันให้มีการปรับปรุงระบบไอที, สนับสนุนให้ตั้งงบประมาณไอที, ติดตามสอบถามปัญหางานไอทีและพยายามช่วยเหลือ • มีการตั้งคณะกรรมการบริหารไอที หรือ มี CIO รับผิดชอบ • ตรวจสอบสภาพการใช้ในหน่วยงาน => มีการควบคุมที่ดี, ความเป็นระเบียบเรียบร้อยในห้องเซิรฟเวอร์ และ การจัดวางอุปกรณ์, ปัญหาการใช้งานไอทีโดยทั่วไป, การสนับสนุนและการแก้ปัญหาให้ผู้ใช้, ฯลฯ • การตรวจสอบเอกสาร และ การสัมภาษณ์เจ้าหน้าที่ไอที

การตรวจสอบเอกสาร • นโยบายการใช้ไอที • แผนปฏิบัติงานไอทีประจำปี และ การดำเนินงานตามแผน • แผนการจัดการความเสี่ยงด้านไอที (IT Risk Management Plan) • แผนฉุกเฉินเพื่อรับมือปัญหาความเสี่ยง (IT Contingency Plan) • รายงานแสดงปัญหาที่เคยเกิด, ความถี่ และ ความเสียหายที่เกิด • วิธีการเข้าถึงระบบไอที และ แนวทางในการกำหนดสิทธิในการเข้าถึงระบบไอทีและข้อมูลให้แก่ผู้บริหารและบุคลากรในหน่วยงาน • การแบ่งหน้าที่ความรับผิดชอบในศูนย์ไอที • วิธีการสำรองระบบและข้อมูล และ สื่อที่ใช้จัดเก็บระบบและข้อมูล

การตรวจสอบเอกสาร • คู่มือของระบบต่าง ๆ ที่มีในหน่วยงาน • เว็บไซต์ของหน่วยงาน • การบันทึกข้อมูลและข่าวสารที่สำคัญตามที่หน่วยงานกำหนด ได้รับการปรับปรุงเป็นระยะ ๆ • มีการรายงานข้อมูลราชการตามที่ คณะกรรมการข้อมูลข่าวสารของราชการกำหนด • การใช้เว็บจัดเก็บข้อมูล มีการจัดส่ง, ตรวจสอบ และ ยืนยันอย่างถูกต้องตามแนวทางที่กำหนด • จุดเชื่อมโยงต่าง ๆ ทำงานต่อเชื่อมได้จริง

การตรวจสอบเอกสาร • การจัดซื้อและจัดหาระบบไอที เป็นไปอย่างถูกต้อง • การติดตั้งระบบไอทีเป็นไปอย่างถูกต้อง และ มีการจัดส่งอุปกรณ์, ซอฟต์แวร์ และ สิ่งต่าง ๆ ครบถ้วน • มีการจัดทำระบบข้อมูลระบบไอที, ซอฟต์แวร์, และ ระบบเครือข่าย ไว้อย่างครบถ้วนและเป็นปัจจุบัน (มีแผนภาพแสดงการวางระบบคอมพิวเตอร์และอุปกรณ์, รวมทั้งสายสื่อสาร) • มีการจัดทำรายงานเกี่ยวกับการให้บริการไอที, ปัญหา, และ การแก้ไข เสนอต่อผู้บริหารเป็นระยะ ๆ (อย่างน้อยไตรมาสละครั้ง)

สรุป • การตรวจสอบระบบงานไอทีของจังหวัดเป็นงานสำคัญมาก • ระบบงานไอทีมีปัญหาความเสี่ยงหลายประการ คือ ความเสี่ยงในการพัฒนาระบบ, ความเสี่ยงในการใช้ระบบ, ความเสี่ยงจากภายนอกองค์การ, ความเสี่ยงจากอุบัติภัย, ความเสี่ยงจากมนุษย์ • การใช้ไอทีที่ดีต้องกำหนดขึ้นเป็นกระบวนการที่ชัดเจน • PMQA ระบุเรื่องไอทีไว้ในหมวด 4 • การตรวจสอบไอที คือการตรวจสอบว่าหน่วยงานมีการควบคุมในระบบไอทีครบถ้วนหรือไม่

การตรวจสอบไอที (IT Audit)