Podręcznik kontroli systemów informatycznych dla najwyższych organów kontroli

Kilka dni temu NIK wydała polskie tłumaczenie przygotowanego przez INTOSAI Podręcznika kontroli systemów informatycznych dla najwyższych organów kontroli.
Warto o tym wiedzieć - są to obecnie drugie oficjalne (po Wytycznych dla kontroli działania systemów teleinformatycznych używanych do realizacji zadań publicznych opublikowanych rok temu przez MC) wytyczne jak należy kontrolować systemy teleinformatyczne w jednostkach administracji publicznych.

Dokumenty są proste, ale zdecydowanie pomagają zrobić I krok nowicjuszom w zakresie weryfikacji funkcjonowania oraz nadzoru nad systemami teleinformatycznymi.

5 typowych błędów w raportach z audytu

Bardzo często w ramach prac mam okazję oglądać różne raporty z przeprowadzonych audytów. Często zdarza się więc, że niekoniecznie jestem zachwycony tym co widzę. Nie chodzi tu w tym wypadku o merytorykę - tutaj niekiedy pokutuje kryterium najniższej ceny. W tym momencie mam na myśli samą czytelność dokumentu.

Przygotowanie raportu z audytu często jest traktowane jako najbardziej żmudna, wnosząca dyskusyjną wartość część audytu. W końcu wszystkie luki i tak zostały wykryte, w trakcie audytu powiedziano o tym co trzeba naprawić. Po co więc męczyć się z raportem - słyszałem (naprawdę) kilka razy. Na temat raportowania mam zupełnie inne zdanie. Otóż produktem pracy audytora, czyli czymś materialnym za co nam się płaci jest dokument - raport. Już z tego powodu warto się przyłożyć do prac, by klient mógł zobaczyć wysoką jakość usługi. I by z przyjemnością zaczął korzystać z wyników naszej pracy

Zbliża się kolejne szkolenie CISA

Pozwolę sobie przypomnieć, że szybkimi krokami zbliża się nasze kolejne szkolenie przygotowujące do egzaminów CISA!!!
Wiosenne szkolenie było nawet bardziej skuteczne niż się spodziewaliśmy - egzamin zdało 100% naszych kursantów. Trudno będzie powtórzyć ten doskonały wynik, niemniej spróbujemy :-)

Zainteresowanych zapraszam na stronę szkolenia CISA.
.

Typowy audytor

Trafiłem na bardzo oryginalny opis autorstwa Elberta Hubbarda jak wygląda typowy audytor. Nie mogłem się powstrzymać by go nie przytoczyć:

Typowy audytor to mężczyzna w wieku starszym niż średni, szczupły, pomarszczony, inteligentny, zimny, pasywny, dyplomatyczny, z oczami dorsza, uprzejmy ale równocześnie nie skory do udzielania odpowiedzi, spokojny i irytująco zrównoważony jak betonowa struktura lub odlew, ludzka skamieniałość z sercem jak głaz, bez krztyny uroku, litości, uczucia i poczucia humoru.
Na szczęście nigdy się nie rozmnażają i w końcu trafiają do piekła

Darmowe, webcastowe szkolenie CISSP

Ostatnio dostałem zaproszenia na ciekawy i darmowych webcastów. Może przyda się to osobom wybierającym się na egzaminy?

Shon Harris przedstawiająca kurs z 1 domeny CISSP: Information Security and Risk Management.

Course Description:
This free course module of Domain 1 of our CISSP Certification Training will give the student in-depth knowledge on such topics as: security definitions, vulnerabilities, regulations, risk management, data collection, security enforcement issues, and many more critical concepts. Test drive Career Academy's CISSP training today.
.

Audyt na przestrzeni dziejów

Dr. inż. Bolesław Szomański podesłał mi Rocznik Wojskowy Królestwa Polskiego na rok 1827.
Przedstawiona jest tam lista audytorów Administracji Wojennej. To co zwraca szczególną uwagę to funkcje osób, które pełniły te obowiązki - sama kadra! Osoby szanowane, na wysokich stanowiskach, wymieniane z imienia i nazwiska. Zachęcam do lektury
Jest to zupełnie inne podejście niż to co czasem widać na rynku w postaci "szarej masy" bezimiennych audytorów praktykujących w dużych firmach.

Spotkanie klubu CIO ws. cloud computingu

Jutro odbędzie się kolejne spotkanie klubu CIO. Tematem spotkania będzie "Chmura obliczeniowa w mojej firmie: pro i kontra". Zostałem zaproszony przez organizatorów by podzielić się przemyśleniami z zakresu audytu i nadzoru przetwarzania w chmurze. Czytasz tego bloga? Będziesz na spotkaniu?
Daj znać :-)

Rozganianie czarnych chmur - bezpieczeństwo cloud computing z perspektywy audytora

Na stronie IMMUSEC umieściłem już prezentację "Rozganianie czarnych chmur - bezpieczeństwo cloud computing z perspektywy audytora" z poniedziałkowej konferencji.

Zapraszam do zapoznania się.

7 Kongres Bezpieczeństwa Sieci

28 lutego w Warszawie odbędzie się 7 Kongres Bezpieczeństwa Sieci. Zostałem zaproszony by wygłosić jedną z prezentacji.

W trakcie prezentacji „Rozganianie czarnych chmur – bezpieczeństwo cloud computing z perspektywy audytora” przedstawione zostaną rodzaje zagrożeń utożsamiane z przetwarzaniem danych w chmurach. Odniosę się do najnowszych materiałów przygotowanych m.in. przez Cloud Security Alliance i zaprezentuje najważniejsze z zagadnień, jakie należy wziąć pod uwagę podczas zabezpieczania takich środowisk, zaznaczając niektóre z niezbędnych mechanizmów kontrolnych.

Główną tezą mojego wystąpienia jest pokazanie, że z punktu widzenia bezpieczeństwa model cloud computing nie jest niczym nadzwyczajnym. Nie dość, że nie należy się bać tego typu rozwiązań, to na dodatek do jego zabezpieczania można wykorzystać znane już podejścia i rozwiązania.

Czytelników bloga zapraszam do kontaktu w trakcie którejś z przerw i wspólnej kawy :)

Zbliża się kolejny kurs CISA

Ponieważ od czerwca zmienia się zakres egzaminów zapraszamy na tygodniowy kurs przygotowujący do egzaminów CISA.
Przyszli certyfikowani audytorzy systemów informatycznych będą mogli poznać zakres nowych 5 modułów, dowiedzą się jak otrzymać oraz jak utrzymać certyfikat w kolejnych latach.

Pięć nowych zakresów tematycznych egzaminu to:
Moduł 1. Proces audytu systemów informatycznych
Moduł 2. Rola CISA w Nadzorze IT
Moduł 3. Rola CISA w zarządzaniu cyklem życia systemów i infrastruktury
Moduł 4. Rola CISA w dostarczaniu oraz wspieraniu usług IT
Moduł 5. Rola CISA w zabezpieczaniu zasobów informacyjnych