จำเป็นต้องใช้งาน (5) การแบ่งแยกบทบาทหน้าที่ของบุคคลที่เกี่ยวข้องในการจัดสรรสิทธิ เช่น ผู้ร้องขอ (access request) ผู้มีอำนาจอนุมัติ (access authorization) และผู้ดูแลสิทธิการเข้าถึง (access administration

IT (system change) (1) มีการประเมินผลกระทบ และจัดลำดับความสำคัญของ การเปลี่ยนแปลง (2) มีกระบวนการขออนุมัติการเปลี่ยนแปลง (change request) โดยต้องได้รับการอนุมัติจากหน่วยงานเจ้าของระบบ (system owner

. ขอบเขตในการตรวจสอบ (Audit scope) 3 4. การตรวจสอบ 7 4.1 วิธีการเก็บหลักฐาน 7 4.2 แนวทางการสุ่มตัวอย่าง 8 4.3 การบันทึกข้อมูลเกี่ยวกับการตรวจสอบ 9 4.4 ประเภทของการตรวจสอบ 9 5. การสรุปผลการตรวจสอบ 12

น้อยทุก 2 ปี 3.1.2 กรณีเป็นผู้ประกอบธุรกิจที่มีความเสี่ยงระดับต่ำ ต้องจัดให้มีการตรวจสอบ ด้าน IT อย่างน้อยปีละ 1 ครั้ง โดยเป็นการตรวจสอบแบบเต็มรูปแบบ (full scope) ที่ครอบคลุมหลักเกณฑ์ทั้งหมด อย่างน้อยทุก