질문
현재 내부회계관리 운영을 하고 있는데
감사를 받으면서 현업 운영담당자들하고 논쟁이 되고 있는것이
패스워드 정책 입니다.
각 시스템별로 패스워드 정책을 통제하고 있는데
감사인이 권고하는 패스워드 정책하고
내부 회사가 규정하는 패스워드 정책이 다릅니다.
무조건 감사인 권고안으로 패스워드 정책을 바꾸고 따라야 하는지
아니면 그냥 회사 규정대로 운영해도 되는지 궁금 합니다.
그리고 내부회계제도에서 규정하는 패스워드 지침이 별도로 있는지요?
예들들어 패스워드 복잡성, HISTORY 갯수, 변경주기, Idle Time 등....
답변 부탁 합니다.
답변
회사의 정책 수립과 운영에 대한 권한과 책임은 회사에 있기 때문에 내부회계관리제도 모범규준 등에서 패스워드 지침을 구체적으로 제시하고 있지 않습니다. 따라서 해당 회사의 공신력 있는 기관의 정보보호 표준이나 업계의 관행, 시스템의 중요도, 감사인이 권고하는 내부통제 모범 사례 등을 고려하시어 회사가 관련 RISK를 적절히 관리할 수 있는 합리적인 수준의 정책을 수립하시면 됩니다.
외부감사인과의 의견 차이에 대해서는 위에 언급한 요소들을 고려하시어 협의가 필요할 것으로 판단됩니다.
출처
https://www.k-icfr.org/sub/menu/qna.asp?rWork=TblRead&rNo=609&rGotoPage=34&rSchText=&rType=1
게시글 번호: 399