حلّ الأسئلة في الاختبار أعلاه أولًا، ثم افتح كل سؤال هنا لترى الإجابة الصحيحة وسبب خطأ كل خيار.
01يرفض مدير تقنية المعلومات في شركة مدفوعات إتاحة السجلات للتدقيق لغياب تفويض معتمد. ماذا ينبغي لرئيس التدقيق أن يحصل عليه أولاً؟
سؤال تدريبي الوحدة: عملية تدقيق نظم المعلومات
أقائمة فحوص تقنية يوقعها مدير تقنية المعلومات
تصف قائمة الفحوص التقنية الاختبارات المخططة لكنها لا تنشئ تفويضاً مؤسسياً ولا تُلزم مدير التقنية بإتاحة الوصول.
بتقرير تدقيق مكتمل يوثق قيد النطاق
قد يلزم لاحقاً توثيق قيد النطاق إذا رُفض الوصول، لكنه لا يؤسس التفويض المفقود الذي ينبغي الحصول عليه أولاً.
جميثاق تدقيق معتمد من جهة الحوكمة يجيز الوصول ذي الصلة ✓ الإجابة الصحيحة
صحيح. ميثاق التدقيق المعتمد من جهة الحوكمة يؤسس تفويض وظيفة التدقيق وحقوق الوصول ذات الصلة قبل بدء العمل الميداني (مسرد ISACA — Audit charter).
داتفاق غير رسمي مع مسؤول قاعدة البيانات
لا يغني الاتفاق غير الرسمي مع مسؤول قاعدة البيانات عن تفويض مؤسسي معتمد من جهة الحوكمة.
المرجع: قاموس ISACA التفاعلي — Audit charter؛ https://www.isaca.org/resources/glossary
اسأل صديقًا
02يضم مجتمع المشتريات أوامر روتينية صغيرة وعدداً قليلاً من مشتريات الطوارئ مرتفعة القيمة بضوابط مختلفة. كيف يحسن المدقق تمثيل المجموعتين؟
سؤال تدريبي الوحدة: عملية تدقيق نظم المعلومات
أاختيار أحدث الأوامر فقط بغض النظر عن الفئة
اختيار أحدث الأوامر فقط لا يضمن تمثيل كل من المجموعة الروتينية ومجموعة مشتريات الطوارئ مرتفعة القيمة.
بتقسيم المجتمع إلى طبقات مناسبة واختيار عينة من كل طبقة ✓ الإجابة الصحيحة
صحيح. تقسم المعاينة الطبقية مجتمعاً غير متجانس إلى طبقات أكثر تجانساً ليُختار من كل طبقة عينة ممثلة (مسرد ISACA — Sampling stratification).
جاستبعاد مشتريات الطوارئ لقلة عددها
لا تبرر قلة العدد استبعاد مجموعة الطوارئ مرتفعة القيمة المتميزة، والتي غالباً ما تخضع لضوابط مختلفة وتحمل مخاطر أعلى.
ددمج المجموعتين وتجاهل اختلاف الضوابط
دمج المجموعتين وتجاهل اختلاف الضوابط قد يخفي تعرضاً خاصاً بإحدى الطبقتين.
المرجع: قاموس ISACA التفاعلي — Sampling stratification؛ https://www.isaca.org/resources/glossary
اسأل صديقًا
03يتعين على مؤسسة خدمات عامة الاختيار بين خدمة رقمية بالكامل تخفض التكلفة وإتاحة مساعدة مباشرة يحتاجها المستخدمون الأكثر عرضة للاستبعاد. ولا تحدد الاستراتيجية المعتمدة أولوية لأي من الهدفين. بماذا يوصي المدقق أولاً؟
سؤال تدريبي الوحدة: حوكمة تقنية المعلومات وإدارتها
أإطلاق النموذجين فوراً وتسوية تعارض المستهدفات بعد الإطلاق.
إطلاق النموذجين فوراً يُلزم المؤسسة بموارد قبل حسم تعارض الأولويات الاستراتيجية.
بطلب أن يقرر المورد المفضل نموذج الخدمة الذي ستقدمه المؤسسة.
قد يقدم المورد المشورة بشأن الجدوى والتكلفة، لكن حوكمة أهداف أصحاب المصلحة المتعارضة تبقى مسؤولية المؤسسة.
جاختيار الخدمة الأقل تكلفة تشغيلاً.
التكلفة التشغيلية الأقل مهمة، لكنها وحدها لا تحسم مفاضلة غير معتمدة مقابل الإتاحة المساعدة للمستخدمين الأكثر عرضة.
دالاتفاق مع مجموعات أصحاب المصلحة المعنية على أهداف متوازنة للخدمة. ✓ الإجابة الصحيحة
صحيح. تقيّم الحوكمة احتياجات أصحاب المصلحة والخيارات وتتفق على أهداف متوازنة قبل تحديد التوجه (مسرد ISACA — Governance).
المرجع: مسرد ISACA، مصطلح «Governance». https://www.isaca.org/resources/glossary
اسأل صديقًا
04تعيّن شركة تصنيع أمناء بيانات لتنسيق التعريفات المشتركة للمنتجات. ويسند ميثاقها اعتماد التعريفات إلى مالكي البيانات في الأعمال، لكن الأمناء لا يستطيعون حسم خلافات المالكين ولا يملكون مساراً للتصعيد. ما أفضل توصية؟
سؤال تدريبي الوحدة: حوكمة تقنية المعلومات وإدارتها
أطلب اختيار التعريف الأسهل من مسؤولي قواعد البيانات.
سهولة التنفيذ التقني لا تحدد المعنى المؤسسي لبيانات المنتجات المشتركة؛ ويبقى مالكو الأعمال مسؤولين عن التعريفات.
بإلزام الأمناء باجتماعات أكثر تكراراً دون تغيير صلاحيات القرار.
زيادة تكرار الاجتماعات لا تنشئ صلاحية قرار حين يفتقر الأمناء إلى مسار تصعيد لخلافات المالكين.
جالسماح للأمناء باعتماد التعريفات دون موافقة مالكي البيانات في الأعمال.
سماح الأمناء بالاعتماد منفردين يتجاوز إسناد الاعتماد لمالكي الأعمال في الميثاق بدلاً من معالجة غياب آلية حسم الخلاف.
دتحديد مسار تصعيد وسلطة لاتخاذ القرار في الخلافات. ✓ الإجابة الصحيحة
صحيح. تحتاج حوكمة البيانات إلى أدوار وعمليات مترابطة؛ ويحسم مسار تصعيد محدد خلافات المالكين مع الحفاظ على مسؤوليات الاعتماد المنصوص عليها (مسرد ISACA — Data governance).
المرجع: مسرد ISACA، مصطلح «Data governance». https://www.isaca.org/resources/glossary
اسأل صديقًا
05تراجع المدققة مشروعاً بتكلفة أولية 100,000 دولار وتدفق صافٍ موجب 60,000 دولار في نهاية كل من السنتين التاليتين. باستخدام خصم بعد الضريبة 10%، ودون تدفقات أخرى، ما صافي القيمة الحالية تقريباً؟
سؤال تدريبي الوحدة: اقتناء نظم المعلومات وتطويرها وتنفيذها
أموجب 9,091 دولار
خصم التدفقين البالغ كل منهما 60,000 دولار لسنة واحدة فقط يبالغ في القيمة الحالية؛ ويجب خصم التدفق الثاني لسنتين.
بسالب 826 دولار
معاملة التدفقين كأنهما يُستلمان في نهاية السنة الثانية تبخس القيمة الحالية للتدفق الأول.
جموجب 20,000 دولار
التدفقات دون خصم (120,000) ناقص الاستثمار 100,000 تساوي ربحاً محاسبياً 20,000 وليست صافي القيمة الحالية.
دموجب 4,132 دولار ✓ الإجابة الصحيحة
صحيح. صافي القيمة الحالية = −100,000 + 60,000/1.1 + 60,000/1.1² ≈ +4,132 (مسرد ISACA — Net present value).
المرجع: ISACA Glossary — Net present value (NPV)؛ https://www.isaca.org/resources/glossary
اسأل صديقًا
06وافق مجلس التغيير في مستشفى على إصدار لبوابة المرضى بعد مراجعة التكلفة والتوقف. لا يتضمن السجل أي نظر في تحليلات الأثر الأمني وأثر الخصوصية المتاحة. ما أهم ضعف في الموافقة؟
سؤال تدريبي الوحدة: تشغيل نظم المعلومات ومرونة الأعمال
ألم يشترط المجلس اجتماع موافقة منفصلاً لكل وحدة تطبيقية.
اجتماعات موافقة منفصلة لكل وحدة ليست مطلوبة لتقييم الآثار الأمنية وآثار الخصوصية للإصدار ككل.
بافتقر القرار الموثق إلى النظر الصريح في الآثار الأمنية وآثار الخصوصية. ✓ الإجابة الصحيحة
صحيح. يشترط CM-3 أن تراعي قرارات التغيير تحليلات الأثر الأمني وأثر الخصوصية وأن يُوثَّق قرار الموافقة (NIST SP 800-53 Rev. 5 — CM-3).
جلم يقدم مدير المشروع تقديراً ثانياً لتكاليف النشر.
تقدير تكلفة ثانٍ لا يعوّض غياب الأساس المتعلق بمخاطر الأمن والخصوصية عند الموافقة.
دلم يوقع ممثل المالية توقيعاً إضافياً على جدول التنفيذ.
قد يكون توقيع المالية تفضيلاً محلياً، لكنه لا يعالج غياب النظر في الآثار.
المرجع: NIST SP 800-53 Rev. 5، CM-3 (smt.b; cm-3_smt.c). https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
اسأل صديقًا
07يستطيع مستشفى تحمل توقف الفوترة يوماً، لكن يجب استمرار أوامر الدواء خلال 30 دقيقة. تسرد خطة الاستعادة الخوادم أبجدياً وتستعيدها بهذا الترتيب. أي توصية تدعم الهدف التشغيلي بأفضل صورة؟
سؤال تدريبي الوحدة: تشغيل نظم المعلومات ومرونة الأعمال
أمنح جميع التطبيقات هدف الاستعادة نفسه لتبسيط التقارير للإدارة.
أهداف الاستعادة الموحدة تتجاهل تفاوت حدود التحمل الصريح بين الفوترة (يوم) وأوامر الدواء (30 دقيقة).
بتحديد أولويات الاستعادة وفق الوظائف الأساسية والتبعيات وأهداف الاستعادة. ✓ الإجابة الصحيحة
صحيح. تخطيط الاستعادة في CP-2 يعطي الأولوية للوظائف الأساسية والتبعيات وأهداف الاستعادة (NIST SP 800-53 Rev. 5 — CP-2).
جاستعادة أحدث الخوادم أولاً لحداثة دعم مورديها.
حداثة المعدات ودعم المورد لا تحددان أولوية استعادة أوامر الدواء.
داستعادة الخوادم التي تخدم أكبر عدد من المستخدمين أولاً للحد من الاضطراب العام.
عدد المستخدمين ليس مرادفاً للأهمية الحرجة؛ فقد يكون نظام طلب أدوية قليل المستخدمين هو الأعلى أولوية.
المرجع: NIST SP 800-53 Rev. 5، CP-2 (smt.a.1; cp-2_smt.a.2; cp-2_smt.a.4). https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
اسأل صديقًا
08تسجل منصة مدفوعات الدخول الناجح لكنها تستبعد إعادة تشغيل الدفعات وتغييرات المعلمات ذات الصلاحيات المرتفعة اللازمة لفهم إخفاقات المعالجة. بماذا يوصي المدقق لجعل التسجيل مفيداً للتحقيقات التشغيلية؟
سؤال تدريبي الوحدة: تشغيل نظم المعلومات ومرونة الأعمال
أشراء تخزين إضافي للسجلات قبل سؤال العمليات عن الأحداث اللازمة.
شراء التخزين قبل تحديد الأحداث المطلوبة لا يعالج غياب سجلات إعادة تشغيل الدفعات وتغييرات المعلمات ذات الصلاحيات المرتفعة.
بتنسيق احتياجات التحقيق واختيار الأحداث المناسبة مع مبرر موثق. ✓ الإجابة الصحيحة
صحيح. يطلب AU-2 تنسيق احتياجات التحقيق/التدقيق واختيار الأحداث ذات الصلة مع مبرر موثق (NIST SP 800-53 Rev. 5 — AU-2).
جتمديد الاحتفاظ بسجلات الدخول دون تغيير أنواع الأحداث المختارة.
إطالة الاحتفاظ بسجلات الدخول لا تعيد بناء أنواع أحداث لم تُسجَّل أصلاً.
داستخدام نسب الإتاحة الشهرية بدلاً من جمع سجلات تفصيلية لأحداث المعالجة.
نسب الإتاحة الشهرية لا تعيد بناء إخفاقات المعالجة الفردية أو تغييرات المعلمات ذات الصلاحيات المرتفعة.
المرجع: NIST SP 800-53 Rev. 5، AU-2 (smt.b; au-2_smt.c; au-2_smt.d). https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
اسأل صديقًا
09وجد تدقيق مالي أن موظفاً ينشئ الموردين في تطبيق المشتريات ويعتمد دفعاتهم في تطبيق مصرفي منفصل. يجتاز كل تطبيق مراجعة الأدوار الخاصة به. بماذا يوصي المدقق؟
سؤال تدريبي الوحدة: حماية أصول المعلومات
أتقييم تعارض الصلاحيات عبر النظامين وتعديل تصاريح الوصول ✓ الإجابة الصحيحة
صحيح. يجب أن يحدد فصل المهام في AC-5 التعارضات الممتدة عبر التطبيقات ويعالجها، لا داخل نظام واحد فقط (NIST SP 800-53 Rev. 5 — AC-5).
بالحصول على إقرار الموظف بسياسة مكافحة الاحتيال
إقرار سياسة مكافحة الاحتيال لا يلغي قدرة الموظف على إنشاء الموردين واعتماد دفعاتهم.
جإضافة معتمِد ثانٍ لإنشاء الموردين في نظام المشتريات
معتمِد ثانٍ داخل المشتريات قد يقوّي خطوة واحدة لكنه يترك تعارض الإنشاء والدفع عبر التطبيقين دون تقييم.
دتكرار المراجعات الحالية بصورة منفصلة في كل تطبيق
تكرار مراجعات الأدوار داخل كل تطبيق على حدة سيفوّت مجدداً التعارض المجمع الذي يظهر فقط عبر النظامين.
المرجع: NIST SP 800-53 Rev. 5، الضابط AC-5، ac-5_smt.a; ac-5_smt.b; ac-5_gdn. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
اسأل صديقًا
10تعمل إضافة على محطة عمل في مساحة العنوان القابلة للكتابة نفسها التي يعمل فيها وكيل فرض سياسة الأمن. يبيّن الاختبار أن الإضافة تستطيع تغيير شيفرة الفرض. ما الذي ينبغي أن يُعطى الأولوية؟
سؤال تدريبي الوحدة: حماية أصول المعلومات
أمراجعة موافقات تثبيت الإضافات بوتيرة أعلى
مراجعة موافقات التثبيت بوتيرة أعلى لا تعزل شيفرة الإضافة أثناء التنفيذ عن وكيل الفرض.
بعزل وظائف فرض السياسة الأمنية عن شيفرة الإضافة خلف حد محمي ✓ الإجابة الصحيحة
صحيح. يطلب SC-3 عزل وظائف الأمن عن الوظائف غير الأمنية خلف حد محمي حتى لا تفسد شيفرة الإضافة فرض السياسة (NIST SP 800-53 Rev. 5 — SC-3).
جتوقيع الإضافة رقمياً مع الإبقاء على أذونات ذاكرتها
التوقيع الرقمي للإضافة يثبت المصدر لكنه لا يمنع تعديل الذاكرة المشتركة المسموح الذي أظهره الاختبار.
دتنبيه المسؤولين بعد تعديل شيفرة الوكيل
التنبيه بعد تعديل شيفرة الوكيل يكشف الضرر متأخراً ولا يوفر العزل الذي يحمي سلامة الفرض.
المرجع: NIST SP 800-53 Rev. 5، الضابط SC-3، sc-3_smt; sc-3_gdn. https://csrc.nist.gov/pubs/sp/800/53/r5/upd1/final
اسأل صديقًا
