5 typowych błędów w raportach z audytu

Bardzo często w ramach prac mam okazję oglądać różne raporty z przeprowadzonych audytów. Często zdarza się więc, że niekoniecznie jestem zachwycony tym co widzę. Nie chodzi tu w tym wypadku o merytorykę - tutaj niekiedy pokutuje kryterium najniższej ceny. W tym momencie mam na myśli samą czytelność dokumentu.

Przygotowanie raportu z audytu często jest traktowane jako najbardziej żmudna, wnosząca dyskusyjną wartość część audytu. W końcu wszystkie luki i tak zostały wykryte, w trakcie audytu powiedziano o tym co trzeba naprawić. Po co więc męczyć się z raportem - słyszałem (naprawdę) kilka razy. Na temat raportowania mam zupełnie inne zdanie. Otóż produktem pracy audytora, czyli czymś materialnym za co nam się płaci jest dokument - raport. Już z tego powodu warto się przyłożyć do prac, by klient mógł zobaczyć wysoką jakość usługi. I by z przyjemnością zaczął korzystać z wyników naszej pracy

Dostawcy, jako najsłabsze ogniowo w systemie bezpieczeństwa informacji

Dostawcy, jako najsłabsze ogniowo w systemie bezpieczeństwa informacji

22 listopada, podczas XXI konferencji PolCAAT będę mieć przyjemność prowadzić panel dyskusyjny pt. "Dostawcy, jako najsłabsze ogniowo w systemie bezpieczeństwa informacji".
W sytuacji, gdy coraz szerzej wymieniamy dane z zewnętrznymi podmiotami, czy polegamy na ich usługach jako kluczowych dla działania naszego biznesu, zagadnienie to staje się nie trywialne.

Nowe kierunki prac

Nowe kierunki prac - normalizacyjnych, standaryzacyjnych

W ubiegłym tygodniu Ministerstwo Gospodarki poprosiło szereg organizacji o wsparcie w przygotowaniu uwag do dokumentu " Wielostronnej Platformy do spraw Standaryzacji Technologii Informacyjno-Komunikacyjnych" w zakresie rekomendowanie standardów w celu zapewnienia interoperacyjności rozwiązań i systemów wykorzystujących technologie informacyjno-komunikacyjne. Nie będę szerzej komentować tego, że de facto dostaliśmy 1 dzień na przygotowanie uwag do dokumentu, który koncentrował się JEDYNIE na takich obszarach jak:

Zniechęceni cyberbezpieczeństwem

Zniechęceni cyberbezpieczeństwem

NIST opublikował niedawno bardzo interesujące, choć niepokojące wyniki badań. Autorzy podkreślają, że coraz częstszym zjawiskiem jest świadoma rezygnacja użytkowników z troski o cyberbezpieczeństwo. Przeprowadzenie badań na próbie 40 osób, mimo zapewnień autorów, nie jest moim zdaniem wiarygodne by wysnuwać uogólnione wnioski. Niemniej jednak zgodne jest to z moimi obserwacjami, że aura skrajnie skomplikowanych rytuałów w zakresie cyberbezpieczeństwa, nieustanne groźby, że hakerzy i tak są lepsi oraz poczucie, nieuchronności cyberincydentów zamiast zachęcać - zniechęca. Dlatego też podkreślam w swoich projektach, że zapewnianie cyberbezpieczeństwa może być łatwe. Oczywiście, w ramach pewnego zdefiniowanego zakresu ryzyk, niemniej to jednak powinno wystarczyć zdecydowanej większości organizacji

Koszt cyberincydentów (RAND)

Koszt cyberincydentów (RAND)

RAND Corporation opublikowało ostatnio raport na tematkosztów cyberincydentów. Analizując próbkę z 12000 różnych zarejestrowanych incydentów okazało się, że koszt cyberincydentu to średnio $200 000 czyli mniej więcej tyle ile wynoszą budżety badanych firm przeznaczone na bezpieczeństwo informacji. Niektórzy autorzy zaczęli wprost wyciągać wnioski, że taniej więc jest pozwolić się zaatakować niż budować bezpieczne rozwiązania. Nie do końca zgadzam się z takim podejściem do tematu, chociaż warto przyjąć do wiadomości, że tego typu opinie mogą się pojawiać.

Ważna aktualizacja dla VeraCrypt

Ważna aktualizacja dla VeraCrypt

W ostatnich dniach zakończył się audyt bezpieczeństwa kodu źródłowego VeraCrypt. W trakcie audytu ufundowanego przez OSTIF wykryto kilka poważnych luk bezpieczeństwa. Każdy kto korzysta z VeraCrypt do szyfrowania danych powinien bezzwłocznie zainstalować nową wersję łatającą wykryte błędy