Source: http://docplayer.pl/1815491-Czy-audyt-bezpieczenstwa-teleinformatycznego-jest-tym-samym-co-audyt-informatyczny.html
Timestamp: 2016-12-04 18:37:16+00:00
Document Index: 44645041

Matched Legal Cases: ['art.5', 'Art.11', 'arte 2016', 'art. 50', 'art. 9', 'art. 274']

⭐Czy audyt bezpieczeństwa teleinformatycznego jest tym samym co audyt informatyczny?
Czy audyt bezpieczeństwa teleinformatycznego jest tym samym co audyt informatyczny?
Download "Czy audyt bezpieczeństwa teleinformatycznego jest tym samym co audyt informatyczny?"
1 BIULETYN INSTYTUTU AUTOMATYKI I ROBOTYKI NR 21, 2004 Czy audyt bezpieczeństwa teleinformatycznego jest tym samym co audyt informatyczny? Krzysztof LIDERMAN Zakład Systemów Komputerowych, Instytut Teleinformatyki i Automatyki WAT ul. Kaliskiego 2, Warszawa STRESZCZENIE: W artykule została przeprowadzona dyskusja, często używanych w ramach szeroko rozumianego bezpieczeństwa teleinformatycznego, terminów audyt informatyczny oraz audyt bezpieczeństwa teleinformatycznego. Niniejsza publikacja jest wstępem do metodyki LP A audytu bezpieczeństwa teleinformatycznego i dla zapewnienia kompletności przedstawionego wywodu zawiera fragmenty artykułów zamieszczonych w [2], [3] i [4]. 1. Wstęp Słowo audyt jest kojarzone głównie z kontrolą dokumentów księgowych przedsiębiorstwa. Znajomość terminu audyt informatyczny jak wynika z badań przeprowadzonych przez CBOS deklaruje 60 proc. małych i dużych przedsiębiorców 1. Większość z nich (75%) rozumie jego znaczenie jako weryfikację legalności oprogramowania używanego w firmie, jako inne cele wskazując kontrolę bezpieczeństwa systemu komputerowego (24%) i sprawdzenie jego efektywności (13 %). Jak wynika z przytoczonych wyników badań, określenie audytu jakimś przymiotnikiem wcale nie przyczynia się do zlikwidowania niejasności, a wręcz przeciwnie, niejasności pogłębia. Robiąc nawet pobieżny przegląd witryn 1 Bartłomiej Witucki: W firmach małe zainteresowanie. Gazeta Prawna2 K. Liderman internetowych firm, które w swojej ofercie mają audyt związany w jakiś sposób z informatyką, można natknąć się na następujące sformułowania: Audyt informacyjny jako diagnoza stanu posiadania strategii biznesowej, ocena jej poprawności oraz ocena postrzegania i stopnia jej akceptacji wśród pracowników firmy. Audyt informatyczny jako ocena stanu informatyzacji badanej organizacji, w szczególności sprawdzenie, czy odpowiada ona odpowiada celom biznesowym zidentyfikowanym np. w audycie informacyjnym. W ramach tego audytu realizowana jest inwentaryzacja zasobów teleinformatycznych oraz identyfikowane są cele, jakie stawiane są przed informatyką w danym przedsiębiorstwie dziś i w dającej się przewidzieć przyszłości. Audyt informatyczny e-biznes jako analiza możliwości wejścia firmy na rynek e-biznesu. Prace audytorów dotyczą szacowania kosztów, oceny korzyści z wykorzystania rozwiązań e-biznesowych, propozycji strategii e-biznesowej, doboru odpowiednich narzędzi informatycznych, propozycji integracji z istniejącym systemem informatycznym. Audyt telekomunikacyjny jako ocena wykorzystania infrastruktury telekomunikacyjnej. Audyt bezpieczeństwa jako wykonanie tzw. testów penetracyjnych oraz ocena bliżej nie zdefiniowanej polityki i procedur bezpieczeństwa, czasami połączona z oceną czegoś, co nazywane jest bezpieczeństwem fizycznym 2. Ograniczając się tylko do audytu informatycznego, można stwierdzić, że rozumiany jest on potocznie jako: analiza wsparcia przez poszczególne systemy informatyczne funkcji biznesowych, ocena możliwości dostosowania i rozbudowy zasobów informatycznych zgodnie z potrzebami przedsiębiorstwa, ocena bezpieczeństwa zasobów informatycznych przedsiębiorstwa i przyjętej polityki ochrony danych, sposób uzyskania wyczerpujących i aktualnych informacji o zainstalowanym oprogramowaniu, posiadanych licencjach oraz zasobach sprzętowych. 2 Dla uzupełnienia podanych przykładów jeszcze dwa cytaty z rzeczywistych umów: wykonanie audytu bezpieczeństwa systemu i sieci teleinformatycznej... Audyt ma obejmować całą sieć korporacyjną... (Biuro Prezesa, xx oddziałów terenowych/filii, yy przedstawicielstwa/sekcje zamiejscowe) i mieć następujący zakres: Przedmiotem niniejszej umowy jest ocena bezpieczeństwa teleinformatycznego w firmie... obejmująca zasoby i systemy teleinformatyczne zlokalizowane w siedzibie Biuletyn Instytutu Automatyki i Robotyki, 21/20043 Czy audyt bezpieczeństwa teleinformatycznego jest... Odpowiedź na pytanie zawarte w tytule wymaga zatem szerszego wprowadzenia. W praktyce bowiem okazuje się często, że zainteresowane w realizacji umowy strony różnie interpretują takie terminy, jak: bezpieczeństwo teleinformatyczne, ocena (w szczególności: ocena bezpieczeństwa teleinformatycznego), audyt (w szczególności: audyt bezpieczeństwa systemów i sieci teleinformatycznych). Celem niniejszego artykułu jest przedstawienie propozycji interpretacji ww. terminów i na tej podstawie wskazanie różnic w realizacji audytów wymienionych w tytule artykułu. 2. Bezpieczeństwo teleinformatyczne Sam termin bezpieczeństwo jest trudny do zdefiniowania. Wydaje się że jest zrozumiały, ale jest to rozumienie intuicyjne. Potocznie oznacza on niepodleganie obawie, spokój; pewność, że się nic złego nie stanie. Bardziej precyzyjnie poziom racjonalnie uzasadnionego zaufania, że potencjalne straty nie zostaną poniesione. Mając na uwadze takie rozumienie bezpieczeństwa, proponuje się następującą definicję bezpieczeństwa teleinformatycznego [1]: Termin bezpieczeństwo teleinformatyczne oznacza poziom uzasadnionego 3 zaufania, że potencjalne straty, wynikające z niepożądanego (przypadkowego lub świadomego) ujawnienia, modyfikacji, zniszczenia lub uniemożliwienia przetwarzania informacji przechowywanej i przesyłanej za pomocą systemów teleinformatycznych, nie zostaną poniesione. Zgodnie z tą definicją, że bezpieczeństwo teleinformatyczne dotyczy informacji oraz pośrednio, jako środka przechowywania, przesyłania i przetwarzania informacji, systemów teleinformatycznych. Warto sobie uświadomić, że celem wszelkich działań z zakresu bezpieczeństwa teleinformatycznego jest ochrona informacji a nie komputerów. Komputery (ogólnie: zasoby teleinformatyczne) chronimy przed nieupoważnionym dostępem, zniszczeniem itd. przede wszystkim dlatego, że są nosicielami informacji. Brak tej świadomości prowadzi do skupienia się podczas budowy systemu bezpieczeństwa (lub podczas oceny stanu bezpieczeństwa) na zasobach, 3 Np. analizą ryzyka. Biuletyn Instytutu Automatyki i Robotyki, 21/4 K. Liderman a nie na informacji, co w konsekwencji często prowadzi do zbudowania nieskutecznego systemu ochrony (lub błędnej oceny). Dlaczego chronimy informację? Chronimy informację, ponieważ: 2) Jest ona towarem o znaczeniu strategicznym (dla kraju, firmy, konkretnego człowieka). Od zarania dziejów ci, którzy dysponowali właściwą informacją we właściwym czasie, wygrywali wojny oraz osiągali sukcesy rynkowe. Dlatego, podobnie jak współcześnie rudy uranu czy nowe technologie, informacja jest towarem, który można kupić, dzięki któremu można osiągnąć określone korzyści i który trzeba chronić, mając na względzie własne interesy. 3) Jest podstawowym elementem procesów biznesowych. Podstawą działania prawie wszystkich współczesnych firm i organizacji jest poprawny obieg informacji. Przerwanie tego obiegu lub sfałszowanie informacji powoduje straty kończące się często dla firmy bankructwem. 4) Tak nakazują przepisy obowiązującego prawa lub wynika to z zawartych umów. Ze względów przedstawionych w punktach 1 i 2 oraz ze względu na ochronę dóbr osobistych obywateli, we wszystkich cywilizowanych krajach ustanowiono przepisy prawne mające na celu ochronę informacji przed nieuprawnionym dostępem, zapewnienie jej właściwego przetwarzania, przechowywania i przesyłania oraz określające zasady zbierania określonych kategorii informacji. Przepisy obowiązującego prawa, o których jest mowa w punkcie 3, obejmują część artykułów Kodeksu Karnego oraz pokaźną listę ustaw i rozporządzeń, jak np.: 1. Konstytucja Rzeczpospolitej Polskiej. 2. Ustawa z dnia r. o ochronie informacji niejawnej. Dz. U. 11/99 poz. 95. Znowelizowana (nowelizacja weszła w życie ). 3. Rozporządzenie Prezesa Rady Ministrów z dn w sprawie podstawowych wymagań bezpieczeństwa systemów i sieci teleinformacyjnych. Dz. U. 18/99 poz Rozporządzenie MSWiA oraz ON z dn w sprawie sposobu oznaczania materiałów, w tym klauzulami tajności, oraz sposobu umieszczania klauzul na tych materiałach. Dz. U. 18/99 poz Biuletyn Instytutu Automatyki i Robotyki, 21/20045 Czy audyt bezpieczeństwa teleinformatycznego jest Ustawa z dn o ochronie danych osobowych. Dz. U. z dn (znowelizowana ustawą z dn ). 6. Rozporządzenia Ministra Spraw Wewnętrznych i Administracji z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024). 7. Ustawa z dn o rachunkowości. Dz.U. Nr 121 poz.591. Znowelizowana nowelizacja obejmuje również szczegółowe wytyczne dotyczące techniki komputerowej stosowanej w rachunkowości (nowelizacja obowiązuje od ). 8. Ustawa z dn o podpisie elektronicznym Dz.U. Nr 130, poz.1450 (wejście w życie ). 9. Ustawa z dn prawo autorskie i prawa pokrewne. Dz.U Ustawa z dn prawo o obrocie papierami wartościowymi. Dz.U. 118/ Ustawa z dn o zwalczaniu nieuczciwej konkurencji. Dz.U Ustawa z dn o zmianie ustawy Kodeks postępowania karnego, ustawy Przepisy wprowadzające Kodeks postępowania karnego, ustawy o świadku koronnym oraz ustawy o ochronie informacji niejawnych. Dz.U. Nr 17, poz Ustawa z dn Prawo telekomunikacyjne Dz.U. Nr 73, poz Ustawa z dn o dostępie do informacji publicznej Dz.U. Nr 112, poz Ustawa z dn o ochronie baz danych Dz.U. Nr 128, poz.1402 (wejście w życie ). 16. Ustawa z dn o świadczeniu usług droga elektroniczną. Dz.U.Nr 144, poz (wejście w życie z wyjątkiem art.5 ust.5 który stosuje się od dnia uzyskania przez Polskę członkostwa w Unii Europejskiej). 4 Art.11 pkt. 4: Przez tajemnicę przedsiębiorstwa rozumie się nie ujawnione do wiadomości publicznej informacje techniczne, technologiczne, handlowe lub organizacyjne przedsiębiorstwa, co do których przedsiębiorca podjął niezbędne działania w celu zachowania ich poufności. Biuletyn Instytutu Automatyki i Robotyki, 21/6 K. Liderman 17. Ustawa z dn o ochronie niektórych usług świadczonych drogą elektroniczną opartych lub polegających na dostępie warunkowym. Dz.U.Nr 126/02 poz (wejście w życie ). Należy mieć na uwadze fakt, że oprócz ww. dokumentów podstawowych, w praktyce obowiązuje szereg przepisów i zarządzeń resortowych (bankowych [19], [20], wojskowych, Agencji Bezpieczeństwa Wewnętrznego) regulujących szczegółowo poszczególne zakresy tematyczne bezpieczeństwa teleinformatycznego. Poza tym w prawie polskim wyróżnia się wiele rodzajów informacji prawnie chronionych (tajemnic), takich jak: tajemnicę postępowania administracyjnego i karnego, tajemnicę lekarską, tajemnicę skarbową, tajemnicę handlową, tajemnicę bankową, tajemnicę ubezpieczeń społecznych, tajemnicę publicznego obrotu papierami wartościowymi, tajemnicę dziennikarską, tajemnicę pomocy społecznej itd. Jednak dokumenty najważniejsze pod względem praktycznym, to (przynajmniej tak wynika z dotychczasowej praktyki piszącego te słowa) dokumenty wymienione na pozycjach 2, 3, 5 i 6 przedstawionej wcześniej listy. 3. Ocena bezpieczeństwa teleinformatycznego i standardy Zarówno użytkownicy systemów teleinformatycznych, jak i kierownictwo instytucji eksploatujących te systemy, szczególnie po zainwestowaniu dużych sum w bezpieczeństwo teleinformatyczne, które przecież nie przynosi natychmiastowych, wymiernych zysków, są zainteresowani odpowiedzią na pytanie czy eksploatowany system teleinformatyczny jest bezpieczny? (w sensie: czy informacja w nim przetwarzana jest bezpieczna). Żeby móc rzetelnie odpowiedzieć na takie pytanie, należy najpierw przeprowadzić proces oceny bezpieczeństwa teleinformatycznego [1], [2]. Ocenianiem bezpieczeństwa informacji w systemach teleinformatycznych 5 nazywa się proces określenia wartości miary gwarantowanej odporności systemu teleinformatycznego na czynniki mogące spowodować utratę tajności 6, integralności i dostępności przetwarzanej w nim informacji. 5 Definicja podana za [14]. 6 Tajność opisuje stopień ochrony informacji jakiej ma ona podlegać. Stopień ten jest uzgadniany przez osoby lub organizacje dostarczające i otrzymujące informację (z tajnością jest ściśle związana, dotycząca ludzi, poufność, czyli prawo jednostki do 82 Biuletyn Instytutu Automatyki i Robotyki, 21/20047 Czy audyt bezpieczeństwa teleinformatycznego jest... Ocenianie bezpieczeństwa informacji w systemach teleinformatycznych powinno być realizowane na podstawie: konkretnej polityki bezpieczeństwa teleinformatycznego, spójnego opisu wymaganych funkcji zabezpieczenia, docelowego, pożądanego poziomu miary gwarantowanej odporności. Wynikiem oceniania jest raport oceniającego, opisujący procedury badawcze i testujące, zastosowane podczas analizy właściwości zabezpieczenia systemu teleinformatycznego, wraz z opisem i wynikami testów zastosowanych w celu potwierdzenia lub zaprzeczenia istnienia określonych wad (podatności) systemu. Miary gwarantowanej odporności 7 są zwykle określane przez odpowiednie standardy, np: w Common Criteria będą to tzw. Evaluation Assurance Level (EAL), a w TCSEC 8 klasy bezpieczeństwa D, C, B, A. Proces oceny może być przeprowadzony własnymi siłami firmy, o ile posiada ona odpowiednio kompetentny w tym zakresie pion teleinformatyki i komórkę bezpieczeństwa (i wtedy mówi się o ocenie poziomu bezpieczeństwa teleinformatycznego według np. zaleceń standardu BS 7799) lub ocena może być zlecona zewnętrznemu, niezależnemu zespołowi (i wtedy może to być audyt). Najważniejsze międzynarodowe normy i standardy w zakresie oceny bezpieczeństwa teleinformatycznego to: 1. Trusted Computer System Evaluation Criteria (TCSEC tzw. Orange Book); 2. Information Technology Security Evaluation Criteria (ITSEC); 3. Evaluation Criteria for Information Technology Security norma ISO/IEC (Common Criteria); 4. Control Objectives for Information and Related Technology (COBIT ) standard ISACA (Information Systems Audit and Control Association); 5. Standard brytyjski BS 7799 (w grudnia 2000 roku na jego podstawie została wydana norma ISO/IEC 17799:2000); 6. Raport techniczny ISO/IEC TR 13335:1997 (arkusz 1 został wydany jako norma polska PN I :1999). decydowania o tym, jakimi informacjami chce się podzielić i jakie jest skłonna przyjąć). 7 Omówienie terminu miara gwarantowanej odporności zostało zamieszczone m.in. w [2] i [3]. 8 Trusted Computer System Evaluation Criteria. DoD. 15 August CSC-STD Dokument znany jest pod nazwą Pomarańczowej książki. Biuletyn Instytutu Automatyki i Robotyki, 21/8 K. Liderman Miara gwarantowanej odporności powinna dawać pewność 9, że obiekt oceniany spełnia cele zabezpieczenia. Zwykle jest nią właściwość obiektu ocenianego, dająca podstawy, aby sądzić, że jego funkcje zabezpieczenia realizują koncepcję bezpieczeństwa określoną dla obiektu. Zgodnie z normą terminologiczną PN I wyróżnia się: miarę gwarantowanej odporności związaną z oceną (ang. evaluation assurance) jest to część miary gwarantowanej odporności, wynikająca z zestawienia składników miary gwarantowanej odporności, określających fakty i działania wymagane od oceniającego; miarę gwarantowanej odporności związaną z projektowaniem (ang. development assurance) jest to część miary gwarantowanej odporności, wynikająca z zestawienia składników miary gwarantowanej odporności, określająca parametry i działania wymagane od wytwórcy. Poziom gwarantowanej odporności systemu jest to określony zestaw składników miary gwarantowanej odporności, za pomocą którego przypisuje się miarę właściwej jakości zabezpieczenia do obiektu. Poziom oceny gwarantowanej odporności jest to określony zestaw składników miary gwarantowanej odporności 10, reprezentujący punkt na skali miary gwarantowanej odporności nadzorowanej konfiguracji (np. w Common Criteria będzie to tzw. EAL Evaluation Assurance Level po polsku przetłumaczony jako Poziom Uzasadnionego Zaufania). Próby ustandardowienia zagadnień związanych z ochroną i oceną bezpieczeństwa informacji w systemach informatycznych były podejmowane w praktyce od połowy lat sześćdziesiątych, gdy zaczęły wchodzić do powszechnego użytku systemy wielodostępne oraz pojawiły się pierwsze sieci komputerowe. Pierwszymi udanymi (tj. takimi, które wywarły istotny wpływ na sposób rozumienia problematyki bezpieczeństwa w systemach informatycznych i na wiele lat stały się podstawą do opracowywania lokalnych standardów w tym zakresie) były zalecenia wydane w USA w 1983 w postaci tzw. Pomarańczowej książki. Można wyróżnić dwa rodzaje standardów z zakresu bezpieczeństwa teleinformatycznego: 1) standardy, na podstawie których można przeprowadzać certyfikacje systemów 9 Skuteczność i poprawność są głównymi składnikami pewności (za [14]). 10 Składnik miary gwarantowanej odporności jest to indywidualne kryterium na najniższym poziomie opisu, przedstawiające cechę i wymagane działania niezbędne do osiągnięcia skuteczności i poprawności przetwarzania informacji. 84 Biuletyn Instytutu Automatyki i Robotyki, 21/20049 Czy audyt bezpieczeństwa teleinformatycznego jest... i produktów teleinformatycznych, np. ISO (Common Criteria), ITSEC, TCSEC; 2) standardy stanowiące tzw. best practices, np. BS 7799, PN I , traktujące o tym jak powinno budować się bezpieczne systemy teleinformatyczne. Cechą charakterystyczną standardów z punktu 1) jest podawanie miar w postaci: klas w TCSEC (np. Windows NT 4.0 jako produkt przy pewnych ograniczeniach posiada klasę C2 według TCSEC); poziomów E0 E6 w ITSEC; poziomów uzasadnionego zaufania EAL w PN-ISO/IEC Przykładowo, taki produkt jak Oracle 9i może posiadać certyfikaty dla standardów z grupy 1); dla standardów z grupy 2) certyfikatów się nie wystawia, bo nie podają one miar, dla których taką certyfikację można przeprowadzić. Obie grupy standardów mogą natomiast stanowić podstawę audytu w zakresie bezpieczeństwa teleinformatycznego dla konkretnych systemów teleinformatycznych. Podstawową zaletą standardów z punktu widzenia audytora (definicja terminu audytor i omówienie procesu audytu por. rozdz. 4) jest to, że systematyzują proces oceny systemu zabezpieczeń oraz stanowią platformę odniesienia pozwalającą uzyskać powtarzalność procesu oceny i porównywanie uzyskanych wyników. Mogą stanowić również punkt wyjścia przy formułowaniu kontraktu na przeprowadzenie audytu, ponieważ zawarcie w kontrakcie klauzuli mówiącej, że proces oceny ma zostać przeprowadzony np. zgodnie z zaleceniami ISO/IEC 15408, znacznie upraszcza rozliczalność takiego przedsięwzięcia. Należy jednak pamiętać, że posiadanie certyfikatu przez produkt (system) oznacza tylko tyle, że produkt/system został wykonany zgodnie z zaleceniami określonego standardu. Jeżeli np. system operacyjny został zakwalifikowany do klasy B3 według standardu TCSEC, oznacza to, że: umożliwia dostęp do zasobów na podstawie etykietowania, jest dostępna pełna dokumentacja projektowa systemu, system został zaprojektowany z wykorzystaniem metodyk strukturalnych etc. Zakłada się, że jeżeli produkt zostanie wytworzony zgodnie z wymaganiami określonego standardu, to jego cechy związane z bezpieczeństwem teleinformatycznym będą na wyższym poziomie jakościowym niż wtedy, gdy z zaleceń standardów się nie korzysta. Podobnie posiadanie przez firmę certyfikatów z rodziny ISO-9000 nie chroni 11 Windows 2000 w 2002 roku uzyskał certyfikat poziomu EAL 4 (+ Flaw Remediation). Biuletyn Instytutu Automatyki i Robotyki, 21/10 K. Liderman automatycznie przed produkcją bubli, chociaż powinno radykalnie taką możliwość ograniczyć. Pojawia się tutaj pytanie, czy certyfikaty (i w konsekwencji określone standardy i normy) są potrzebne. Odpowiedź brzmi tak, ponieważ firmy które nie będą ich posiadały dla eksploatowanych systemów teleinformatycznych i używanych produktów, stawiają się w niekorzystnej sytuacji w porównaniu firmami które taki certyfikat uzyskały. Do uzasadnienia tej tezy może posłużyć chociażby zawartość dokumentu Council Resolution of 28 January 2002 on a common approach and specificactions in the area of network and information security(2002/c 43/02) 12 i stosowane na Zachodzie praktyki. Na przykład w USA firma, która nie posiada certyfikatu SEI CMM określającego odpowiedni stopień dojrzałości organizacyjnej, z definicji nie jest dopuszczana do kontraktów realizowanych na zamówienie Departamentu Obrony. Inny przykład: od III kwartału 2003 wszystkie kraje członkowskie NATO muszą (przynajmniej w zakresie związanym z działalnością NATO, a jest ona bardzo obszerna), wdrożyć stosowanie normy ISO Podsumowując certyfikaty są potrzebne, bo wymagają ich formalne zasady postępowania w szeroko rozumianej działalności biznesowej, szczególnie jeżeli jest ona prowadzona na arenie międzynarodowej. Na zakończenie ogólnych rozważań o standardach i normach jeszcze często stawiane w kontekście norm i standardów pytania: Czy warto stosować pewne z góry założone procedury i metodyki przy testowaniu bezpieczeństwa? Czy intruzi trzymają się standardów albo sztywnych metodyk działania? Piszący te słowa uważa, że trzeba korzystać ze standardów bo, jak już zostało to wspomniane wcześniej, porządkują one proces audytu i umożliwiają porównywanie wyników. Brak metodyki przy każdym postępowaniu w dziedzinie technicznej (nie dotyczy to oczywiście różnych dziedzin sztuki) jest amatorstwem, a nie profesjonalizmem. Wbrew pozorom, również intruzi działają najczęściej metodycznie. Gdyby było inaczej, nie można byłoby np. opracować sygnatur dla narzędzi IDS. Należy jednak zauważyć, że zgodnie z proponowanym w rozdz. 4 rozumieniem, audyt jest działaniem kompleksowym obejmuje czynności sprawdzające zarówno zgodność ze standardami (lista audytowa), jak i testy penetracyjne, które w pewnym sensie można potraktować jako element sztuki. 12 Dokument ten zaleca stosowanie standardów ISO i ISO Biuletyn Instytutu Automatyki i Robotyki, 21/200411 Czy audyt bezpieczeństwa teleinformatycznego jest Standard ISACA COBIT audytu informatycznego Jednym z tzw. otwartych standardów związanych z oceną bezpieczeństwa teleinformatycznego jest, preferowany zwłaszcza w organizacjach takich jak banki czy towarzystwa ubezpieczeniowe, standard audytu informatycznego COBIT opracowany i rozwijany w ramach ISACA (Information Systems Audit and Control Association). Działania ISACA koncentrują się na zagadnieniach audytu i bezpieczeństwa systemów teleinformatycznych. W ramach tej problematyki ISACA opracowuje standardy, prowadzi szkolenia i certyfikacje. Wraz z ISACF (Information Systems Audit and Control Foundation) tworzy i publikuje opracowania pomagające dotrzymywać kroku ciągle zmieniającemu się środowisku systemów informatycznych. Najbardziej znanymi działaniami ISACA są: program certyfikacji CISA (Certified Information System Auditor), oraz opracowanie i opublikowanie w 1996 roku standardu COBIT (Control Objectives for Information and Related Technology). Celem tego ostatniego przedsięwzięcia jest ( jest, a nie było, ponieważ jest to ciągle rozwijany, otwarty standard dostępny częściowo również w Internecie) badanie, rozwijanie, publikowanie i promowanie autorytatywnego, aktualnego zbioru celów kontroli systemów teleinformatycznych dla codziennego użytku przez kierownictwo i audytorów, akceptowanych przez społeczność międzynarodową. Podstawowe części dokumentacji standardu to: Executive Summary, Framework Control Objectives Audit Guidelines Implementation Tool Set Zasadniczą częścią tego zestawu są Control Objectives, które zawierają 302 szczegółowe wymagania przypisane do 34 procesów przebiegających w systemach informatycznych. Tabela 1.1 pokazuje w syntetyczny sposób lansowaną przez ISACA ideę audytu informatycznego. Poszczególne wiersze zawierają procesy biznesowe organizacji związane z wykorzystaniem informatyki, kryteria oceny tych procesów (1 7) oraz zasoby których dotyczą (I V). Dla każdego procesu w COBIT są zdefiniowane tzw. punkty kontrolne (w sumie jest ich 302), dla których osoba przeprowadzająca ocenę musi znaleźć uzasadnione potwierdzenie ich spełnienia lub niespełnienia w ramach ocenianej organizacji. Biuletyn Instytutu Automatyki i Robotyki, 21/12 K. Liderman Tabela 1.1. Audyt informatyczny według COBIT Kryteria Zasoby informatyczne PROCES NAZWA I II III IV V Planowanie i organizowanie PO1 Definiowanie planu strategicznego IT P S X X X X X PO2 Definiowanie architektury IT P S S S X X PO3 Determinowanie kierunku technologicznego P S X X PO4 Definiowanie organizacji i relacji IT P S X PO5 Zarządzanie inwestycjami IT P P S X X X X PO6 Przedstawienie celów i kierunków rozwoju formułowanych przez kierownictwo P S X PO7 Zarządzanie zasobami ludzkimi P P X PO8 Zapewnianie zgodności z wymogami otoczenia P P S X X X PO9 Szacowanie ryzyka S S P P P S S X X X X X PO10 Zarządzanie projektami P P X X X X PO11 Zarządzanie jakością P P P S X X Nabywanie i wdrażanie AI1 Identyfikacja rozwiązań P S X X X AI2 Nabywanie i utrzymywanie oprogramowania aplikacyjnego P P S S S X AI3 Nabywanie i utrzymywanie architektury technologicznej P P S X AI4 Rozwijanie i utrzymywanie procedur IT P P S S S X X X X AI5 Instalowanie i akredytowanie systemów P S S X X X X X AI6 Zarządzanie zmianami P P P P S X X X X X Dostarczanie i wspieranie DS1 Definiowanie poziomów serwisowych P P S S S S S X X X X X DS2 Zarządzanie obcym serwisem P P S S S S S X X X X X DS3 Zarządzanie efektywnością i wydajnością P P S X X X DS4 Zapewnianie ciągłości serwisu P S P X X X X X DS5 Zapewnianie bezpieczeństwa systemów P P S S S X X X X X DS6 Identyfikowanie i przypisywanie kosztów P P X X X X X DS7 Edukowanie i szkolenia użytkowników P S X DS8 Asystowanie i pomaganie klientom IT P X X DS9 Zarządzanie konfiguracją P S S X X X DS10 Zarządzanie problemami i incydentami P P S X X X X X DS11 Zarządzanie danymi P P X DS12 Zarządzanie urządzeniami P P X DS13 Zarządzanie operacjami P P S S X X X X Monitorowanie M1 Monitorowanie procesów P S S S S S S X X X X X M2 Ocena odpowiedniości kontroli wewnętrznej P P S S S S S X X X X X M3 Uzyskiwanie niezależnej opinii P P S S S S S X X X X X M4 Zapewnienie niezależnego audytu P P S S S S S X X X X X 88 Biuletyn Instytutu Automatyki i Robotyki, 21/200413 Czy audyt bezpieczeństwa teleinformatycznego jest... Oznaczenia w tabeli: P znaczenie pierwszorzędne dla oceny procesu wykorzystania i przetwarzania informacji S znaczenie drugorzędne dla oceny procesu wykorzystania i przetwarzania informacji Kryteria oceny procesu wykorzystania i przetwarzania informacji: 1 skuteczność, 2 wydajność, 3 poufność, 4 integralność, 5 dostępność, 6 zgodność, 7 rzetelność Zasoby informatyczne: I ludzie, II aplikacje, III technologie, IV urządzenia, V dane Na przykład dla procesu DS12 Zarządzanie urządzeniami punkty kontrolne dotyczą: DS12.1: bezpieczeństwa fizycznego DS12.2: utrudnienia osobom obcym identyfikacji rozmieszczenia sprzętu komputerowego DS12.3: nadzoru nad osobami obcymi przebywającymi na terenie organizacji DS12.4: BHP DS12.5: przeciwdziałania skutkom zagrożeń środowiskowych (upał, wilgoć, ogień itd.) DS12.6: zasilania awaryjnego Standard BS 7799 oceny bezpieczeństwa teleinformatycznego Standard BS 7799 został opracowany w połowie lat 90-tych przez British Standards Institute i podlega cały czas aktualizacji. W części pierwszej Code of practice for Information Security Management [7] dokumentu opisane są najlepsze praktyki, które powinny być stosowane w budowie i zarządzaniu bezpiecznych systemów teleinformatycznych. Na tej podstawie, w części drugiej BS 7799 pt. Specification for Information Security Management Systems [8], zdefiniowanych jest 127 punktów kontrolnych (wymagań na bezpieczeństwo teleinformatyczne), zgrupowanych w dziesięć tematów. Te tematy (w oryginale numerowane poczynając od liczby trzy) to: 1. Polityka bezpieczeństwa; 2. Organizacja bezpieczeństwa; 3. Kontrola i klasyfikacja zasobów; 4. Bezpieczeństwo a personel; 5. Bezpieczeństwo fizyczne; 6. Zarządzanie komputerami i siecią komputerową; 7. Kontrola dostępu do systemu; 8. Projektowanie i utrzymywanie systemu; 9. Planowanie ciągłości procesów biznesowych; Biuletyn Instytutu Automatyki i Robotyki, 21/14 K. Liderman 10. Zgodność z obowiązującymi regulacjami prawnymi. Warto zauważyć, że to, co w powszechnym rozumieniu kojarzy się z pojęciem bezpieczeństwa teleinformatycznego i audytu, w tym zakresie to punkty 6-8 powyższej listy. Jest to niestety prowadzący do nieporozumień powszechny pogląd kadry kierowniczej (a więc osób zlecających i płacących za audyt) i również, przynajmniej części, informatyków. Zdarza się bowiem, że realizując zlecenie na audyt, gdy padają pytania o: inwentaryzację zasobów teleinformatycznych w firmie, schemat obiegu informacji w firmie, podległość wykorzystywanej w firmie informacji pod obowiązujące ustawy, itp. spotkać się można z niezrozumieniem i pytaniem a po co wam to, przecież macie tylko sprawdzić, czy nie ma luk w sieci. Przedstawiona lista tematów wspiera również podstawowe założenie bezpieczeństwa teleinformatycznego: system bezpieczeństwa powinien być systemem kompleksowym, wykorzystującym w spójny sposób zabezpieczenia: organizacyjne i kadrowe, fizyczne i techniczne sprzętowo-programowe, i systemem pozwalającym na wykrycie przełamania zabezpieczeń (oraz prób takich działań) oraz skuteczną ochronę pomimo przełamania części zabezpieczeń. Od zalecenia brytyjskie opublikowane w Code of Practice for Information Security Management zostały przyjęte jako norma ISO/IEC 17799: Audyt Termin audyt jest powszechnie znany i często (również nieprawidłowo) używany. Podstawową przyczyną nieporozumień jest fakt, że termin audyt jest zapożyczony wprost z języka angielskiego i nie ma właściwego odpowiednika w języku polskim. Np. [21] nie zawiera definicji terminu audyt, natomiast zawiera definicję terminu audytor, który to termin jest również (ale w innym znaczeniu!) używany w żargonie informatycznym. Zgodnie z [21], audytor to: 13 Od września 2003 dostępna jest również polska norma PN ISO/IEC 17799: Biuletyn Instytutu Automatyki i Robotyki, 21/200415 Czy audyt bezpieczeństwa teleinformatycznego jest... audytor m IV, DB. a, Ms. ~orze; lm M. ~ orzy a. owie 1. <<rzecznik przy sądzie wojskowym; sędzia wojskowy>> 2. <<w sądownictwie kościelnym: sędzia delegowany do przygotowania materiału procesowego, gromadzenia środków dowodowych itp.; członek trybunału Roty>> <łc.> W słownikach języka angielskiego, np. w [22] definiuje się te terminy następująco: audit n official examination of accounts to see that they are in order. vt exmine,eg. accounts, officially. auditor n 1 listener to a speaker. etc. 2. person who audits. Dalej podane są definicje z normy PN EN ISO 9000:2001 terminologia [11]. Norma ta dotyczy systemów jakości ale, ze względu na jej międzynarodowe znaczenie i wpływ na szeroko rozumiane procesy audytu, zostały dalej z niej przytoczone odpowiednie definicje. Przy okazji warto zauważyć, że Polski Komitet Normalizacyjny, tj. organizacja która powinna m.in. dbać o spójność i jednoznaczność terminologii, przyjęła w tej normie pisownię audit, odmienną od stosowanej chociażby w normie [14] (wydanej przez ten sam organ normalizacyjny) pisowni audyt oraz utartej wieloletnią praktyką wymowy tego wyrazu audit usystematyzowany, niezależny i udokumentowany proces (3.4.1) uzyskania dowodu z auditu (3.9.5) i obiektywnej oceny w celu określenia w jakim stopniu spełniono uzgodnione kryteria auditu (3.9.3). UWAGA: Audity wewnętrzne czasami nazywane są auditami pierwszej strony, są przeprowadzane przez, lub w imieniu organizacji (3.9.4), dla wewnętrznych celów i mogą mieć postać samodeklaracji zgodności (3.6.1) organizacji. Zewnętrzne audity zawierają określenia auditów drugiej lub trzeciej strony. Audity drugiej strony przeprowadzane są przez strony zainteresowane takie jak klienci lub inne osoby w ich imieniu. Audity trzeciej strony przeprowadzane są przez zewnętrzne niezależne organizacje. Takie organizacje poświadczają certyfikacją lub rejestracją zgodność z wymaganiami takimi jak ISO 9001 czy ISO 14001:1996. Gdy poddawany auditowi jest jednocześnie system zarządzania (3.2.2) jakością i środowiskiem, audit taki definiowany jest jako audit połączony. Gdy dwie lub więcej jednostek współdziała ze sobą podczas wspólnego auditowania auditowanego (3.9.8), audit taki definiowany jest jako audit wspólny auditor osoba posiadająca kompetencje (3.9.12) do przeprowadzenia auditu (3.9.1). Biuletyn Instytutu Automatyki i Robotyki, 21/16 K. Liderman zespół auditujący osoba lub grupa osób przeprowadzająca audit (3.9.1). UWAGA_1: Zwykle jeden z auditorów z zespole auditującym jest mianowany liderem tego zespołu (tzw. auditor wiodący ). UWAGA_2: Do zespołu auditującego mogą także należeć auditorzy szkolący się, a także, gdy jest to wymagane, eksperci techniczni (3.9.12). UWAGA_3: Obserwatorzy mogą towarzyszyć zespołowi auditującemu, ale nie mogą działać jako część zespołu ekspert techniczny (audit) osoba, która dysponuje określoną wiedzą lub jest specjalistą w odniesieniu do przedmiotu podlegającemu auditowaniu. UWAGA_1: określona wiedza lub opinia zawierającą określoną wiedzę wydana w odniesieniu do organizacji (3.3.1), procesu (3.4.1) lub działania, podlegających auditowaniu traktowana jest na równi z poradnictwem językowym lub kulturowym. UWAGA_2: ekspert techniczny nie występuje jako auditor (3.9.9) w zespole auditującym (3.9.10). Próbując wyjaśnić znaczenie jakiegoś terminu, warto również sprawdzić, czy nie został on zapisany w stosownych normach terminologicznych. Dla rozważanego zakresu przedmiotowego odpowiednia jest norma [14], w której można znaleźć następujące definicje 14 : audyt zabezpieczenia systemu dokonanie niezależnego przeglądu i oceny ( ) działania systemu w celu przetestowania adekwatności środków nadzoru systemu, upewnienia się, czy system działa zgodnie z ustaloną polityką zabezpieczenia ( ) i procedurami operacyjnymi oraz w celu wykrycia przełamań zabezpieczenia ( ) i zalecenia wskazanych zmian w środkach nadzorowania, polityce zabezpieczenia oraz procedurach audit audyt zabezpieczenia przeprowadzenie niezależnego przeglądu i oceny ( ), tj. zapisów i działalności systemu informatycznego w celu przetestowania adekwatności 14 Zdaniem piszącego te słowa, norma ta wprowadza również sporo zamieszania, bo szereg podanych tam definicji kłóci się nie tylko z tzw. dobrą praktyką inżynierską ale również ze zdrowym rozsądkiem. Niestety, w takiej postaci norma została do wierzenia podana, i jako takiej wypada chyba się jej trzymać, bo w końcu lepsza taka, niż żadna. 92 Biuletyn Instytutu Automatyki i Robotyki, 21/200417 Czy audyt bezpieczeństwa teleinformatycznego jest... środków nadzoru systemu, upewnienia się o zgodności ( ) z ustaloną polityką zabezpieczenia ( ) i procedurami eksploatacyjnymi, wykrycia przełamań zabezpieczenia ( ) oraz wskazanie zmian dotyczących środków nadzoru, polityki zabezpieczenia i procedur eksploatacyjnych security audit audyt zabezpieczenia wewnętrzny audyt zabezpieczenia systemu ( ) przeprowadzony przez personel odpowiedzialny za zarządzanie w organizacji dokonującej przeglądu internal security audit audyt zabezpieczenia zewnętrzny przegląd zabezpieczenia ( ) przeprowadzany przez organizację niezależną od podlegającej przeglądowi external security audit Z przytoczonych definicji wynika, że audyt jest: 1) oficjalnym sprawdzeniem, czy wszystko jest w porządku [22], 2) niezależnym przeglądem i oceną czegoś w systemie teleinformatycznym [11], [14]. W celu uniknięcia nieporozumień warto przyjąć, że: audytem jest nazywane postępowanie dla oceny zgodności audytowanego obiektu z wzorcem (normą, wzorcem proceduralnym lub arbitralnie ustanowionym wektorem wartości pewnych cech) prowadzone przez stronę niezależną (firmę, osobę lub zespół). W przypadku audytu z zakresu bezpieczeństwa teleinformatycznego, ta niezależność powinna być zachowana w stosunku do: 1) organizacji/zespołu budującego system zabezpieczeń; 2) dostawców sprzętu i oprogramowania; 3) organizacji podlegającej przeglądowi w takim sensie, że w skład zespołu audytowego nie mogą wchodzić pracownicy organizacji zlecającej audyt. Jeżeli nie jest dotrzymany któryś z ww. punktów, to można mówić co najwyżej o przeglądzie zabezpieczeń według listy audytowej..., a nie o audycie. W praktyce audyt dla celów bezpieczeństwa teleinformatycznego przeprowadza się z jednego z następujących powodów: Biuletyn Instytutu Automatyki i Robotyki, 21/18 K. Liderman 1) żeby wykazać, że informacja i system teleinformatyczny został zabezpieczony zgodnie z ustaleniami pomiędzy zleceniodawcą a zespołem budującym system bezpieczeństwa; 2) żeby wykazać, że system bezpieczeństwa spełnia wymagania norm i standardów w tym zakresie, np. ISO/IEC-15408; 3) żeby wystawić ocenianemu systemowi tzw. certyfikat bezpieczeństwa, co w związku z wejściem Polski do NATO (i obowiązującej ustawie o ochronie informacji niejawnych ) oraz dążeniem do wejścia do Unii Europejskiej jest coraz częstsze; 4) żeby ocenić jakość systemu bezpieczeństwa i przedstawić ocenę zleceniodawcy do decyzji (modernizujemy/zostawiamy jak jest). Z przytoczonych uwag wynika, że: 1) audytem nie jest sprawdzanie zapisów w dziennikach systemowych i zabezpieczeń systemu teleinformatycznego (tzw. inspekcja logów) w celu wykrycia ewentualnych włamań, chociaż takie sprawdzanie może być elementem procesu audytu; 2) audytem nie jest sprawdzanie konfiguracji stacji roboczych, serwerów i urządzeń sieciowych, chociaż takie sprawdzanie może być elementem procesu audytu; 3) w szczególności audytem, ani elementami audytu, nie są czynności wymienione w punktach 1 i 2, jeżeli są przeprowadzane przez administratorów konkretnych systemów w ramach ich bieżących bądź zleconych zadań. W tym miejscu, niestety, trzeba poddać krytyce zawartość polskiej normy terminologicznej [14]. Nie można się zgodzić, że audyt obejmuje również wykrycie przełamań zabezpieczenia oraz wskazanie zmian dotyczących środków..., ponieważ: 1) Jeżeli wykrycie przełamań, to za jaki okres? Roku? Miesiąca? A co w przypadku, gdy sprawdzany system nie daje możliwości takiego wykrycia (np. nie archiwizuje się zawartości dzienników)? 2) W praktyce audyt nie obejmuje wskazania zmian dotyczących środków... (bo to jest zwykle objęte oddzielnym kontraktem), ale wskazanie, gdzie w systemie są podatności, które mogą być wykorzystane przez zagrożenia. Niezależny zespół audytorów nie powinien się wikłać w poprawianie systemu zabezpieczeń, bo staje się jego współkonstruktorem i tym samym przestaje być niezależny. 94 Biuletyn Instytutu Automatyki i Robotyki, 21/200419 Czy audyt bezpieczeństwa teleinformatycznego jest... Niejasności dotyczące audytu pogłębia fakt, że w organizacjach związanych z szeroko rozumianym audytem wyróżniane są następujące typy audytów 15 : 1) Finansowy jest to analiza działalności organizacji dotycząca wyników finansowych i zagadnień księgowych. Polega na niezależnej i obiektywnej weryfikacji i wyrażeniu opinii o prawidłowości i rzetelności sprawozdania finansowego. Audyt ten jest wykonywany przez biegłego rewidenta na podstawie Ustawy o biegłych rewidentach oraz zgodnie z Normami wykonywania zawodu. 2) Zgodności jest to analiza kontroli finansowych i operacyjnych oraz transakcji pod kątem ich zgodności z przepisami, planami, procedurami i standardami. 3) Operacyjny jest to analiza wszystkich lub wybranych funkcji organizacji (np. wsparcia informatycznego w podejmowaniu decyzji przez kierownictwo) pod kątem wydajności, ekonomiczności oraz efektywności z jaką są te funkcje realizowane w celu osiągnięcia celów biznesowych organizacji. W ramach trzeciego z typów audytu operacyjnego szczególną uwagę zwraca się zwykle na audyt informatyczny (w sensie: audyt wykorzystywanych w procesach biznesowych organizacji systemów informatycznych oraz projektów takich systemów). Cele wykonywania audytu informatycznego to przede wszystkim: 1) Weryfikacja zgodności działania systemów informatycznych z wymogami prawa (ustawa o rachunkowości, o ochronie danych osobowych itp. por. rozdz.2). 2) Weryfikacja stanu bezpieczeństwa systemów informatycznych oraz, w razie potrzeby, pojedynczych aplikacji z perspektywy występującego ryzyka 16 oraz zaimplementowanych procedur kontrolnych i ich efektywności. 3) Analiza ryzyka związanego z prowadzeniem projektu informatycznego. Jednym ze standardów dających pogląd na to, czego dotyczy audyt informatyczny, jest wspomniany w rozdz.3.1 standard COBIT. W tabeli 1.1 są zebrane procesy biznesowe organizacji podlegające audytowi informatycznemu, kryteria oceny tych procesów oraz zasoby teleinformatyczne związane z tymi procesami. Jeżeli audyt będzie dotyczył wszystkich 34 procesów wymienionych w tabeli, ocenianych zarówno przez pryzmat pierwszo-, jak i drugorzędnych kryteriów, będzie to pełny audyt informatyczny. Jeżeli procesy będą oceniane 15 Według klasyfikacji IIA (Institute of Internal Auditors Instytut Audytorów Wewnętrznych) 16 Należy zauważyć, że termin ryzyko oraz analiza ryzyka jest często bardzo swobodnie interpretowany, co również może prowadzić do nieporozumień. Biuletyn Instytutu Automatyki i Robotyki, 21/20 K. Liderman tylko według wybranych kryteriów, np. poufności, integralności i dostępności, to będzie to wycinkowy audyt informatyczny, który w tym przypadku można określić mianem audytu bezpieczeństwa teleinformatycznego. W tabeli 1.1 taki audyt bezpieczeństwa teleinformatycznego, ograniczony tylko do procesów ocenianych według kryteriów pierwszorzędnych tzn. do tych wierszy, na przecięciu których z kolumną 3, 4, 5 (kryteria) znajduje się literka P, jest wyodrębniony poprzez zacieniowanie. Pojawia się tutaj pierwsza z odpowiedzi na pytanie postawione w tytule: audyt bezpieczeństwa teleinformatycznego jest częścią audytu informatycznego. W praktyce brak jest jednak zaleceń co do sposobu prowadzenia audytu w zakresie bezpieczeństwa teleinformatycznego. Szereg organizacji, takich jak ISACA czy British Standards Institution (opublikowany standard BS 7799), szkoli audytorów i przeprowadza, na zlecenie, audyty na zgodność z opublikowanymi przez te organizacje standardami z zakresu zarządzania bezpieczeństwem teleinformatycznym. Szczegółowa metodyka przeprowadzania takich audytów nie została jednak nigdzie opublikowana, a przynajmniej piszącemu te słowa takie publikacje, poza uzupełnieniami normy ISO/IEC 15408, nie są znane. Wydawane przez ISACA standardy można co najwyżej uznać za zbiór pytań, na które audytor powinien znaleźć odpowiedzi, a nie za metodykę. Różne kraje opracowały wprawdzie standardy audytu dla instytucji sektora publicznego, np. w Stanach Zjednoczonych przykładem są podręczniki opracowywane przez GAO (General Accounting Office) zgodne ze standardami GAGAS (Generally Accepted Government Auditing Standards), ale ze względu na odmienne uwarunkowania ekonomiczne i prawne trudno mówić o ich bezpośrednim przeniesieniu na grunt polski. Poza tym, o ile metodyki przeprowadzania audytów z zakresu norm jakości (rodzina ISO 9000) są znane, dobrze udokumentowane i stosowane w praktyce oraz są szkoleni również w Polsce, przez PCBC 17, dla tych potrzeb audytorzy, o tyle szkoleniem w Polsce 18 audytorów dla potrzeb przeprowadzania audytów z zakresu bezpieczeństwa teleinformatycznego nikt się nie zajmuje. Często firmy podejmujące się wykonania audytu bezpieczeństwa wykonują działania wynikające z chwilowego stanu wiedzy zespołu audytorów zebranego ad hoc, dla potrzeb konkretnej umowy. Wynikiem takiego stanu rzeczy, przynajmniej na gruncie polskim, jest brak rozeznania kadry menedżerskiej firm i instytucji, czym jest audyt z zakresu bezpieczeństwa teleinformatycznego i czego można po nim oczekiwać (jakich dokumentów wynikowych, jakie działania mogą zostać przeprowadzone na terenie instytucji zleceniodawcy przez audytorów, jakiego dodatkowego zaangażowania w prace 17 Polskie Centrum Badań i Certyfikacji. 18 Stan na rok Biuletyn Instytutu Automatyki i Robotyki, 21/2004 Pokazać jeszcze
Warszawska Wyższa Szkoła Informatyki Prezentacja do obrony pracy dyplomowej: Wzorcowa polityka bezpieczeństwa informacji dla organizacji zajmującej się testowaniem oprogramowania. Promotor: dr inż. Krzysztof Bardziej szczegółowo Informatyka w kontroli i audycie
Informatyka w kontroli i audycie Informatyka w kontroli i audycie Wstęp Terminy zajęć 30.11.2013 - godzina 8:00-9:30 ; 9:45-11:15 15.12.2013 - godzina 8:00-9:30 ; 9:45-11:15 05.04.2014 - godzina 15:45-17:15 Bardziej szczegółowo Samodzielny audit z zakresu ochrony danych osobowych oraz przygotowanie do kontroli z Biura Generalnego Inspektora Ochrony Danych Osobowych
Samodzielny audit z zakresu ochrony danych osobowych oraz przygotowanie do kontroli z Biura Generalnego Inspektora Ochrony Danych Osobowych Wykładowca mgr prawa i mgr inż. elektronik Wacław Zimny audyt Bardziej szczegółowo mgr inż. Joanna Karczewska CISA, ISACA Warsaw Chapter Konsekwencje wyroku Trybunału Konstytucyjnego dla bezpieczeństwa informacji
mgr inż. Joanna Karczewska CISA, ISACA Warsaw Chapter Konsekwencje wyroku Trybunału Konstytucyjnego dla bezpieczeństwa informacji Wyrok Trybunału Konstytucyjnego 2 Warszawa, dnia 9 kwietnia 2015 r. WYROK Bardziej szczegółowo Zarządzanie bezpieczeństwem informacji przegląd aktualnych standardów i metodyk
Zarządzanie bezpieczeństwem informacji przegląd aktualnych standardów i metodyk dr T Bartosz Kalinowski 17 19 września 2008, Wisła IV Sympozjum Klubu Paragraf 34 1 Informacja a system zarządzania Informacja Bardziej szczegółowo Doświadczenia w wdrażaniu systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001
Doświadczenia w wdrażaniu systemu zarządzania bezpieczeństwem informacji zgodnego z normą ISO 27001 na przykładzie Urzędu Miejskiego w Bielsku-Białej Gliwice, dn. 13.03.2014r. System Zarządzania Bezpieczeństwem Bardziej szczegółowo Normalizacja dla bezpieczeństwa informacyjnego
Normalizacja dla bezpieczeństwa informacyjnego J. Krawiec, G. Ożarek Kwiecień, 2010 Plan wystąpienia Ogólny model bezpieczeństwa Jak należy przygotować organizację do wdrożenia systemu zarządzania bezpieczeństwem Bardziej szczegółowo Komunikat nr 115 z dnia 12.11.2012 r.
Komunikat nr 115 z dnia 12.11.2012 r. w sprawie wprowadzenia zmian w wymaganiach akredytacyjnych dla jednostek certyfikujących systemy zarządzania bezpieczeństwem informacji wynikających z opublikowania Bardziej szczegółowo WZ PW Norma ISO/IEC 27001:2013 najnowsze zmiany w systemach zarzadzania bezpieczeństwem informacji IT security trends
Norma ISO/IEC 27001:2013 najnowsze zmiany w systemach zarzadzania bezpieczeństwem informacji dr inż. Bolesław Szomański Wydział Zarządzania Politechnika Warszawska b.szomański@wz.pw.edu.pl Plan Prezentacji Bardziej szczegółowo ISO 27001. bezpieczeństwo informacji w organizacji
ISO 27001 bezpieczeństwo informacji w organizacji Czym jest INFORMACJA dla organizacji? DANE (uporządkowane, przefiltrowane, oznaczone, pogrupowane ) Składnik aktywów, które stanowią wartość i znaczenie Bardziej szczegółowo Autor: Artur Lewandowski. Promotor: dr inż. Krzysztof Różanowski
Systemy zarządzania bezpieczeństwem informacji: co to jest, po co je budować i dlaczego w urzędach administracji publicznej Wiesław Paluszyński Prezes zarządu TI Consulting Plan prezentacji Zdefiniujmy Bardziej szczegółowo Podstawowe pytania o bezpieczeństwo informacji i cyberbezpieczeństwo w jednostkach sektora finansów publicznych
Opracowanie z cyklu Polskie przepisy a COBIT Podstawowe pytania o bezpieczeństwo informacji i cyberbezpieczeństwo w jednostkach sektora finansów publicznych Czerwiec 2016 Opracowali: Joanna Karczewska Bardziej szczegółowo NS-01 Procedura auditów wewnętrznych systemu zarządzania jakością
Załącznik nr 1 do zarządzenia Burmistrza Miasta Środa Wielkopolska Nr 19/2010 z dnia 22 lutego 2010 r. NS-01 Procedura auditów wewnętrznych systemu zarządzania jakością 1. Cel procedury Celem procedury Bardziej szczegółowo Bezpieczeństwo aplikacji i urządzeń mobilnych w kontekście wymagań normy ISO/IEC 27001 oraz BS 25999 doświadczenia audytora
Bezpieczeństwo aplikacji i urządzeń mobilnych w kontekście wymagań normy ISO/IEC 27001 oraz BS 25999 doświadczenia audytora Krzysztof Wertejuk audytor wiodący ISOQAR CEE Sp. z o.o. Dlaczego rozwiązania Bardziej szczegółowo Wybawi się od niebezpieczeństwa jedynie ten, kto czuwa także gdy czuje się bezpieczny Publiusz Siro. Audyt bezpieczeństwa
Wybawi się od niebezpieczeństwa jedynie ten, kto czuwa także gdy czuje się bezpieczny Publiusz Siro Audyt bezpieczeństwa Definicja Audyt systematyczna i niezależna ocena danej organizacji, systemu, procesu, Bardziej szczegółowo Metodyka zarządzania ryzykiem w obszarze bezpieczeństwa informacji
2012 Metodyka zarządzania ryzykiem w obszarze bezpieczeństwa informacji Niniejszy przewodnik dostarcza praktycznych informacji związanych z wdrożeniem metodyki zarządzania ryzykiem w obszarze bezpieczeństwa Bardziej szczegółowo Polityka Bezpieczeństwa jako kluczowy element systemu informatycznego. Krzysztof Młynarski Teleinformatica Krzysztof.Mlynarski@security.
Polityka Bezpieczeństwa jako kluczowy element systemu informatycznego Krzysztof Młynarski Teleinformatica Krzysztof.Mlynarski@security.pl Główne zagadnienia referatu Pojęcie Polityki Bezpieczeństwa Ocena Bardziej szczegółowo MINISTERSTWO ADMINISTRACJI I CYFRYZACJI
MINISTERSTWO ADMINISTRACJI I CYFRYZACJI S y s t e m Z a r z ą d z a n i a B e z p i e c z e ń s t w e m I n f o r m a c j i w u r z ę d z i e D e f i n i c j e Bezpieczeństwo informacji i systemów teleinformatycznych Bardziej szczegółowo AUDYT INFORMATYCZNY JAKO NARZĘDZIE DOSKONALENIA FUNKCJONOWANIA ORGANIZACJI. Beata Hysa
AUDYT INFORMATYCZNY JAKO NARZĘDZIE DOSKONALENIA FUNKCJONOWANIA ORGANIZACJI Beata Hysa 1. Wprowadzenie Celem artykułu jest przedstawienie pojęcia audytu informatycznego oraz jego znaczenia w doskonaleniu Bardziej szczegółowo Szkolenie otwarte 2016 r.
1 QUO VADIS.. BS? Rekomendacja D dlaczego? Mocne fundamenty to dynamiczny rozwój. Rzeczywistość wdrożeniowa. 2 Determinanty sukcesu w biznesie. strategia, zasoby (ludzie, kompetencje, procedury, technologia) Bardziej szczegółowo Audyt systemów informatycznych w świetle standardów ISACA
Audyt systemów informatycznych w świetle standardów ISACA Radosław Kaczorek, CISSP, CISA, CIA Warszawa, 7 września 2010 r. 1 Zawartość prezentacji Wstęp Ryzyko i strategia postępowania z ryzykiem Mechanizmy Bardziej szczegółowo AUDYT BEZPIECZEŃSTWA INFORMACJI Podstawy
AUDYT BEZPIECZEŃSTWA INFORMACJI Podstawy ROZPORZĄDZENIE RADY MINISTRÓW z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany informacji Bardziej szczegółowo Ryzyko w Rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012r. w sprawie Krajowych Ram Interoperacyjności ( )
Ryzyko w Rozporządzeniu Rady Ministrów z dnia 12 kwietnia 2012r. w sprawie Krajowych Ram Interoperacyjności ( ) Dr inż. Elżbieta Andrukiewicz Przewodnicząca KT nr 182 Ochrona informacji w systemach teleinformatycznych Bardziej szczegółowo OPRACOWANIE ROCZNEGO PLANU AUDYTU ORAZ TRYB SPORZĄDZANIA SPRAWOZDANIA Z WYKONANIA PLANU AUDYTU
Załącznik nr 2 do zarządzenia nr 48/09 Głównego Inspektora Pracy z dnia 21 lipca 2009 r. OPRACOWANIE ROCZNEGO PLANU AUDYTU ORAZ TRYB SPORZĄDZANIA SPRAWOZDANIA Z WYKONANIA PLANU AUDYTU PROCEDURA P1 SPIS Bardziej szczegółowo USŁUGI AUDYTU i BEZPIECZEŃSTWA INFORMACJI
USŁUGI AUDYTU i BEZPIECZEŃSTWA INFORMACJI Warszawa 2013r. STRONA 1 USŁUGI AUDYTU i BEZPIECZEŃSTWA INFORMACJI Warszawa 2013 Spis Treści 1 O Nas pointas.com.pl 2 Kadra i Kwalifikacje 3 Audyty i konsulting Bardziej szczegółowo Warszawa, dnia 12 maja 2016 r. Poz. 20
Warszawa, dnia 12 maja 2016 r. Poz. 20 Z A R Z Ą D Z E N I E N R 15 M I N I S T R A S P R AW Z A G R A N I C Z N Y C H 1) z dnia 10 maja 2016 r. w sprawie Karty audytu wewnętrznego w Ministerstwie Spraw Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w ramach serwisu zgloszenia24.pl
POLITYKA BEZPIECZEŃSTWA w zakresie ochrony danych osobowych w ramach serwisu zgloszenia24.pl SPIS TREŚCI I. POSTANOWIENIA OGÓLNE... 2 II. DEFINICJA BEZPIECZEŃSTWA INFORMACJI... 2 III. ZAKRES STOSOWANIA... Bardziej szczegółowo Warszawa, dnia 6 maja 2015 r. Poz. 16 M I N I S T R A S P R AW Z A G R A N I C Z N Y C H 1) z dnia 6 maja 2015 r.
DZIENNIK URZĘDOWY MINISTRA SPRAW ZAGRANICZNYCH Warszawa, dnia 6 maja 2015 r. Poz. 16 Z A R Z Ą D Z E N I E N R 15 M I N I S T R A S P R AW Z A G R A N I C Z N Y C H 1) z dnia 6 maja 2015 r. w sprawie Karty Bardziej szczegółowo ISO 27001 w Banku Spółdzielczym - od decyzji do realizacji
Polityka bezpieczeństwa informacji Główne zagadnienia wykładu Bezpieczeństwo systemów informatycznych Polityka bezpieczeństwa Zbigniew Suski 1 Polityka Bezpieczeństwa Jest zbiorem zasad i procedur obowiązujących Bardziej szczegółowo 2.11. Monitorowanie i przegląd ryzyka 2.12. Kluczowe role w procesie zarządzania ryzykiem
Spis treści Wstęp 1. Wprowadzenie 1.1. Co to jest bezpieczeństwo informacji? 1.2. Dlaczego zapewnianie bezpieczeństwa informacji jest potrzebne? 1.3. Cele, strategie i polityki w zakresie bezpieczeństwa Bardziej szczegółowo Zmiany w normie ISO 19011
Zmiany w normie ISO 19011 Tomasz Kloze Polskie Centrum Badań i Certyfikacji S. A. Jak powstawała nowa ISO 19011 Styczeń 2007 początek formalnego procesu przeglądu normy ISO 19011 Sformułowanie podstawowych Bardziej szczegółowo Spis treści Wstęp 1. Wprowadzenie 2. Zarządzanie ryzykiem systemów informacyjnych
Wstęp... 13 1. Wprowadzenie... 15 1.1. Co to jest bezpieczeństwo informacji?... 17 1.2. Dlaczego zapewnianie bezpieczeństwa informacji jest potrzebne?... 18 1.3. Cele, strategie i polityki w zakresie bezpieczeństwa Bardziej szczegółowo Jak skutecznie wdrożyć System Zarządzania Bezpieczeństwem Informacji. Katowice 25 czerwiec 2013
Jak skutecznie wdrożyć System Zarządzania Bezpieczeństwem Informacji Katowice 25 czerwiec 2013 Agenda Na czym oprzeć System Zarządzania Bezpieczeństwem Informacji (SZBI) Jak przeprowadzić projekt wdrożenia Bardziej szczegółowo Krzysztof Świtała WPiA UKSW
Krzysztof Świtała WPiA UKSW Podstawa prawna 20 ROZPORZĄDZENIA RADY MINISTRÓW z dnia 12 kwietnia 2012 r. w sprawie Krajowych Ram Interoperacyjności, minimalnych wymagań dla rejestrów publicznych i wymiany Bardziej szczegółowo 14. Sprawdzanie funkcjonowania systemu zarządzania bezpieczeństwem i higieną pracy
14. Sprawdzanie funkcjonowania systemu zarządzania bezpieczeństwem i higieną pracy 14.1. Co to jest monitorowanie bezpieczeństwa i higieny pracy? Funkcjonowanie systemu zarządzania bezpieczeństwem i higieną Bardziej szczegółowo Ministerstwo Finansów Departament Ochrony Interesów Finansowych Unii Europejskiej - Instytucja Audytowa -
Ministerstwo Finansów Departament Ochrony Interesów Finansowych Unii Europejskiej - Instytucja Audytowa - Program Operacyjny Infrastruktura i Środowisko Audyt Systemu lata 2007-2013 Krajowe ramy prawne Bardziej szczegółowo Normy ISO serii 9000. www.greber.com.pl. Normy ISO serii 9000. Tomasz Greber (www.greber.com.pl) dr inż. Tomasz Greber. www.greber.com.
Normy ISO serii 9000 dr inż. Tomasz Greber www.greber.com.pl www.greber.com.pl 1 Droga do jakości ISO 9001 Organizacja tradycyjna TQM/PNJ KAIZEN Organizacja jakościowa SIX SIGMA Ewolucja systemów jakości Bardziej szczegółowo nas sprawdził czas INFORMATYKA ELEKTRONIKA AUTOMATYKA
nas sprawdził czas INFORMATYKA ELEKTRONIKA AUTOMATYKA Wstęp Biznes Dane Aplikacje Infrastruktura Wirtualizacja Systemy operacyjne Pytania Funkcjonalności środowiska IT: Czy obecnie moje środowisko IT ma Bardziej szczegółowo System Kontroli Wewnętrznej w Banku BPH S.A.
Załącznik do Uchwały Zarządu Nr 11/XLI/14 z dnia 30 grudnia 2014r. Załącznik do uchwały Rady Nadzorczej Nr 8/IX/14 z dnia 30 grudnia 2014r. Polityka zarządzania ryzykiem braku zgodności w Banku Spółdzielczym Bardziej szczegółowo DZIAŁ ZARZĄDZANIA RYZYKIEM INFORMATYCZNYM. Strategia i Polityka Bezpieczeństwa Systemów Informatycznych. Wykład. Aleksander Poniewierski
DZIAŁ ZARZĄDZANIA RYZYKIEM INFORMATYCZNYM Strategia i Polityka Bezpieczeństwa Systemów Informatycznych Wykład Aleksander Poniewierski 1 Plan wykładu Informacja w firmie Bezpieczeństwo w firmie Zarządzanie Bardziej szczegółowo Umowa Nr. Zawarta w dniu.. roku w..., pomiędzy... zwanym w dalszej części umowy Zamawiającym reprezentowanym przez:
Umowa Nr Zawarta w dniu.. roku w..., pomiędzy............ zwanym w dalszej części umowy Zamawiającym reprezentowanym przez:......... a firmą Netword z siedzibą w Poznaniu zwanym w dalszej części umowy Bardziej szczegółowo ZARZĄDZENIE NR 9 DYREKTORA GENERALNEGO MINISTERSTWA ŚRODOWISKA z dnia 12 maja 2009 r. w sprawie wprowadzenia Karty audytu wewnętrznego
ZARZĄDZENIE NR 9 DYREKTORA GENERALNEGO MINISTERSTWA ŚRODOWISKA z dnia 12 maja 2009 r. w sprawie wprowadzenia Karty audytu wewnętrznego Na podstawie art. 50 ust. 1 ustawy z dnia 30 czerwca 2005r. o finansach Bardziej szczegółowo Polityka Bezpieczeństwa Informacji Urzędu Miejskiego w Zdzieszowicach
Polityka Bezpieczeństwa Informacji Urzędu Miejskiego w Zdzieszowicach 1. Podstawa prawna Niniejszy dokument reguluje sprawy ochrony danych osobowych przetwarzane w Urzędzie Miejskim w Zdzieszowicach i Bardziej szczegółowo Zasady i tryb przeprowadzania audytu wewnętrznego w Politechnice Warszawskiej
Załącznik nr 1 do Zarządzenia Nr 2 Rektora PW z dnia 25 stycznia 2006 r. Zasady i tryb przeprowadzania audytu wewnętrznego w Politechnice Warszawskiej Rozdział 1 Wstęp 1. Celem Zasad i trybu przeprowadzania Bardziej szczegółowo Architektura bezpieczeństwa informacji w ochronie zdrowia. Warszawa, 29 listopada 2011
Architektura informacji w ochronie zdrowia Warszawa, 29 listopada 2011 Potrzeba Pomiędzy 17 a 19 kwietnia 2011 roku zostały wykradzione dane z 77 milionów kont Sony PlayStation Network. 2 tygodnie 25 milionów Bardziej szczegółowo Procedura Audity wewnętrzne Starostwa Powiatowego w Lublinie
Załącznik Nr 1 do Zarządzenia Starosty Lubelskiego Nr 123/2014 z dnia 18 grudnia 2014 r. Zintegrowane działania na rzecz poprawy jakości zarządzania w Starostwie Procedura Audity wewnętrzne Starostwa Powiatowego Bardziej szczegółowo I. Postanowienia ogólne.
PROCEDURY KONTROLI ZARZĄDCZEJ Załącznik Nr 1 do zarządzenia nr 291/11 Prezydenta Miasta Wałbrzycha z dnia 15.03.2011 r. I. Postanowienia ogólne. 1 Procedura kontroli zarządczej została opracowana na podstawie Bardziej szczegółowo Moduł 6. Dokumentacja techniczna stanowiska komputerowego
Moduł 6 Dokumentacja techniczna stanowiska komputerowego 1. Rodzaje i funkcje dokumentacji stanowiska komputerowego 2. Audyt informatyczny 3. Procedury dotyczące ochrony danych osobowych w postaci elektronicznej Bardziej szczegółowo ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI 1) z dnia 29 kwietnia 2004 r.
Dz.U.2004.100.1024 ROZPORZĄDZENIE MINISTRA SPRAW WEWNĘTRZNYCH I ADMINISTRACJI 1) z dnia 29 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, Bardziej szczegółowo Wykaz osób w postępowaniu o udzielenie zamówienia publicznego nr 32-CPI-WZP-2244/13. Podstawa do dysponowania osobą
Załącznik nr 8 do SIWZ Wykaz osób w postępowaniu o udzielenie zamówienia publicznego nr 3-CPI-WZP-44/13 Lp. Zakres wykonywanych czynności Liczba osób Imiona i nazwiska osób, którymi dysponuje wykonawca Bardziej szczegółowo Podstawy organizacji systemów zarządzania bezpieczeństwem informacji dokumenty podstawowe
Podstawy organizacji systemów zarządzania bezpieczeństwem informacji dokumenty podstawowe Autor Anna Papierowska Praca magisterska wykonana pod opieką dr inż. Dariusza Chaładyniaka mgr inż. Michała Wieteski Bardziej szczegółowo Warszawa, dnia 28 czerwca 2012 r. Poz. 93
Warszawa, dnia 28 czerwca 2012 r. ZARZĄDZENIE MINISTRA SPRAWIEDLIWOŚCI z dnia 27 czerwca 2012 r. w sprawie wprowadzenia Polityki Bezpieczeństwa Informacji Ministerstwa Sprawiedliwości i sądów powszechnych Bardziej szczegółowo 1) Instrukcji o zasadach pracy biurowej w resorcie obrony narodowej (sygn. Szt. Gen. 1537/2002),
1. WSTĘP W odróżnieniu od informacji niejawnych, których ochrona i tryb udostępniania określa szczegółowo ustawa z 22 stycznia 1999 r. o ochronie informacji niejawnych (Dz. U. Nr 11, poz. 95 z późn. zm.) Bardziej szczegółowo Rodzaje audytu. Artur Sierszeń asiersz@kis.p.lodz.pl http://bzyczek.kis.p.lodz.pl
Rodzaje audytu Artur Sierszeń asiersz@kis.p.lodz.pl http://bzyczek.kis.p.lodz.pl Rodzaje audytu audyt finansowy audyt operacyjny audyt wynagrodzeń audyt personalny audyt menedżerski audyt komunikacyjny Bardziej szczegółowo ZARZĄDZENIE NR 111/2011 PREZYDENTA MIASTA TOMASZOWA MAZOWIECKIEGO z dnia 2 maja 2011 roku
ZARZĄDZENIE NR 111/2011 PREZYDENTA MIASTA TOMASZOWA MAZOWIECKIEGO z dnia 2 maja 2011 roku w sprawie wprowadzenia Karty Audytu Wewnętrznego w Urzędzie Miasta w Tomaszowie Mazowieckim. Na podstawie art. Bardziej szczegółowo Nowy wzór sprawozdania ograniczył liczbę umieszczanych w nim informacji.
Nowy wzór sprawozdania ograniczył liczbę umieszczanych w nim informacji. W dniu 1 maja 2008 r. zaczęło obowiązywać nowe Rozporządzenie Ministra Finansów z dnia 4 kwietnia 2008 r. w sprawie trybu sporządzania Bardziej szczegółowo Matryca efektów kształcenia dla programu studiów podyplomowych ZARZĄDZANIE I SYSTEMY ZARZĄDZANIA JAKOŚCIĄ
Podstawy firmą Marketingowe aspekty jakością Podstawy prawa gospodarczego w SZJ Zarządzanie Jakością (TQM) Zarządzanie logistyczne w SZJ Wymagania norm ISO serii 9000 Dokumentacja w SZJ Metody i Techniki Bardziej szczegółowo Szkolenie : Administrator Bezpieczeństwa Informacji (2 dni)
ZRBS/45/2015 Warszawa, dnia 05.06. Szanowni Państwo, Zarząd Banku Spółdzielczego Związek Rewizyjny Banków Spółdzielczych im. F. Stefczyka realizując swoją statutową działalność przesyła ofertę na szkolenie Bardziej szczegółowo administratora systemów informatycznych w Urzędzie Gminy i Miasta Proszowice NIE
Zarządzenie nr 1/2015 z dnia 2 stycznia 2015 r. o zmianie zarządzenia w sprawie: wyznaczenia administratora bezpieczeństwa informacji oraz administratora systemów informatycznych w Urzędzie Gminy i Miasta Bardziej szczegółowo Praktyczne aspekty zarządzania oprogramowaniem. Seminarium Zrób to SAMo Warszawa 30.09.2009
Praktyczne aspekty zarządzania oprogramowaniem Seminarium Zrób to SAMo Warszawa 30.09.2009 Prelegenci A plus C sp. z o.o. pierwszy i najpopularniejszy polski producent i dystrybutor systemów do audytu Bardziej szczegółowo Trwałość projektów 7 osi PO IG
Warszawa, 6 października 2015 r. Konferencja podsumowująca wdrażanie 7 i 8 osi priorytetowej PO IG Trwałość projektów 7 osi PO IG Paweł Oracz Departament Strategii Systemu Informacyjnego Ministerstwo Finansów Bardziej szczegółowo Dobre Praktyki Komitetów Audytu w Polsce
Dobre Praktyki Komitetów Audytu w Polsce WPROWADZENIE Niniejsze Dobre praktyki komitetów audytu odzwierciedlają najlepsze międzynarodowe wzory i doświadczenia w spółkach publicznych. Nie jest to zamknięta Bardziej szczegółowo Budowanie skutecznych systemów zarządzania opartych na normach ISO
UKatalog Szkoleń: Budowanie skutecznych systemów zarządzania opartych na normach ISO UBlok I Podejście procesowe: Zarządzanie procesowe (2 dni) Definicje procesu, zarządzanie procesami, podział i identyfikowanie Bardziej szczegółowo Elementy wymagań ISO/IEC 27001 i zalecenia ISO/IEC 17799 osobowe. 8 - Bezpieczeństwo zasobów ludzkich. 8.1 Przed zatrudnieniem (1)
Elementy wymagań ISO/IEC 27001 i zalecenia ISO/IEC 17799 osobowe dr inż. Bolesław Szomański bolkosz@wsisiz.edu.pl Filozofia prezentacji wymagań i zabezpieczeń zgodnie z załącznikiem A Nagłówek rozdziały Bardziej szczegółowo REGULAMIN WYKONYWANIA KONTROLI W PODMIOTACH, Z KTÓRYMI PLUS BANK S.A. ZAWARŁ UMOWY OUTSOURCINGU
REGULAMIN WYKONYWANIA KONTROLI W PODMIOTACH, Z KTÓRYMI PLUS BANK S.A. ZAWARŁ UMOWY OUTSOURCINGU SPIS TREŚCI: ROZDZIAŁ I... 3 POSTANOWIENIA OGÓLNE... 3 ROZDZIAŁ II... 6 KONTROLA INSTYTUCJONALNA PROWADZONA Bardziej szczegółowo POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH W SZKOLE PODSTAWOWEJ W CHRUŚLINIE
POLITYKA BEZPIECZEŃSTWA DANYCH OSOBOWYCH W SZKOLE PODSTAWOWEJ W CHRUŚLINIE Chruślina 19-03-2015r. 1 POLITYKA BEZPIECZEŃSTWA Administrator Danych Dyrektor Szkoły Podstawowej w Chruślinie Dnia 10-03-2015r. Bardziej szczegółowo Data utworzenia 2014-01-07. Numer aktu 1. Akt prawa miejscowego NIE
ZARZĄDZENIE Nr 1/2014 MARSZAŁKA WOJEWÓDZTWA MAŁOPOLSKIEGO z dnia 7 stycznia 2014 roku w sprawie zmiany Zarządzenia Nr 40/2013 Marszałka Województwa Małopolskiego z dnia 30 kwietnia 2013 roku w sprawie Bardziej szczegółowo Charakterystyka systemu zarządzania jakością zgodnego z wymaganiami normy ISO serii 9000
Charakterystyka systemu zarządzania jakością zgodnego z wymaganiami normy ISO serii 9000 Normy ISO serii 9000 Zostały uznane za podstawę wyznaczania standardów zarządzania jakością Opublikowane po raz Bardziej szczegółowo ZAPROSZENIE DO SKŁADANIA OFERT
Numer sprawy: BAK.WZP.230.2.2015.14 Warszawa, dnia 6 marca 2015 r. ZAPROSZENIE DO SKŁADANIA OFERT 1. Zamawiający: Skarb Państwa - Urząd Komunikacji Elektronicznej zwany dalej Zamawiającym lub UKE, z siedzibą Bardziej szczegółowo Załącznik 1 do Zarządzenia Nr 12 Prezesa PKN z dnia 29 marca 2010 r. Strona 1/13
POLSKI KOMITET NORMALIZACYJNY Wydział Certyfikacji ul. Świętokrzyska 14, 00-050 Warszawa tel. 0 22 556 74 50; fax. 0 22 556 74 20 e-mail wcrsekr@pkn.pl; www.pkn.pl Załącznik 1 do z dnia 29 marca 2010 r. Bardziej szczegółowo KLIENCI KIENCI. Wprowadzenie normy ZADOWOLE NIE WYRÓB. Pomiary analiza i doskonalenie. Odpowiedzialnoś ć kierownictwa. Zarządzanie zasobami
SYSTEM ZARZĄDZANIA JAKOŚCIĄ ISO Jakość samą w sobie trudno jest zdefiniować, tak naprawdę pod tym pojęciem kryje się wszystko to co ma związek z pewnymi cechami - wyrobu lub usługi - mającymi wpływ na Bardziej szczegółowo Zarządzenie Nr OR.0050.40. 2012.OR Burmistrza Gminy i Miasta Lwówek Śląski z dnia 30 lipca 2012r.
Zarządzenie Nr OR.0050.40. 2012.OR Burmistrza Gminy i Miasta Lwówek Śląski z dnia 30 lipca 2012r. w sprawie organizacji i funkcjonowania kontroli zarządczej w Urzędzie Gminy i Miasta Lwówek Śląski. Na Bardziej szczegółowo PLAN AUDYTU WEWNĘTRZNEGO NA ROK 2012 w Biurze Rzecznika Praw Obywatelskich
Biuro Rzecznika Praw Obywatelskich AUDYTOR WEWNĘTRZNY Tel. 55-17-957 Warszawa, dnia 11 stycznia 2012 roku Sygnatura akt: BRPO-AW-0930-19/11 PLAN AUDYTU WEWNĘTRZNEGO NA ROK 2012 w Biurze Rzecznika Praw Bardziej szczegółowo KARTA AUDYTU WEWNĘTRZNEGO
Załącznik nr 1 do Zarządzenia nr 13/09 Burmistrza Miasta Hajnówka z dnia 30 stycznia 2009 r. KARTA AUDYTU WEWNĘTRZNEGO 1. Nazwa JSFP Urząd Miasta Hajnówka zwany dalej Jednostką. 2. Adres Jednostki 17-200 Bardziej szczegółowo Dane osobowe w data center
Dane osobowe w data center obowiązki klienta i obowiązki dostawcy Jarosław Żabówka 2 Dlaczego chronimy dane osobowe? A dlaczego ja mam dbać o te dane, tylko dlatego, że tak sobie ustawodawca wymyślił Prezes Bardziej szczegółowo Bezpieczeństwo danych i systemów informatycznych. Wykład 1
Bezpieczeństwo danych i systemów informatycznych Wykład 1 1. WPROWADZENIE 2 Bezpieczeństwo systemu komputerowego System komputerowy jest bezpieczny, jeśli jego użytkownik może na nim polegać, a zainstalowane Bardziej szczegółowo Procedura auditów wewnętrznych i działań korygujących
1/14 TYTUŁ PROCEURY Opracował: Zatwierdził: Pełnomocnik ds. SZJ Mariusz Oliwa 18 marca 2010r.... podpis Starosta Bolesławiecki Cezary Przybylski... podpis PROCEURA OBOWIĄZUJE O NIA: 25 czerwca 2010r. 18 Bardziej szczegółowo Robert Meller, Nowoczesny audyt wewnętrzny
Robert Meller, Nowoczesny audyt wewnętrzny Spis treści: O autorze Przedmowa CZĘŚĆ I. PODSTAWY WSPÓŁCZESNEGO AUDYTU WEWNĘTRZNEGO Rozdział 1. Podstawy audytu 1.1. Historia i początki audytu 1.2. Struktura Bardziej szczegółowo Akredytacja laboratoriów wg PN-EN ISO/IEC 17025:2005
Akredytacja laboratoriów wg PN-EN ISO/IEC 17025:2005 Marek Misztal ENERGOPOMIAR Sp. z o.o. Biuro Systemów Zarządzania i Ocen Nowe Brzesko, 26 września 2006 r. Czy systemy zarządzania są nadal dobrowolne? Bardziej szczegółowo JAK ZAPEWNIĆ BEZPIECZEŃSTWO INFORMACYJNE?
JAK ZAPEWNIĆ BEZPIECZEŃSTWO INFORMACYJNE? Przedstawiony pakiet usług ma za cel wspomaganie systemu zarządzania bezpieczeństwem informacyjnym, obejmującego strukturę zarządzania bezpieczeństwem IT oraz Bardziej szczegółowo Warszawa, 2 września 2013 r.
Założenia merytoryczne i organizacyjne do audytu wewnętrznego zleconego w zakresie zarządzania bezpieczeństwem systemów teleinformatycznych w wybranych urzędach administracji rządowej Warszawa, 2 września Bardziej szczegółowo Zarządzanie projektami a zarządzanie ryzykiem
Ewa Szczepańska Zarządzanie projektami a zarządzanie ryzykiem Warszawa, dnia 9 kwietnia 2013 r. Agenda Definicje Wytyczne dla zarządzania projektami Wytyczne dla zarządzania ryzykiem Miejsce ryzyka w zarządzaniu Bardziej szczegółowo Zarządzanie bezpieczeństwem informacji przepisy prawa a normy
Zarządzanie bezpieczeństwem informacji przepisy prawa a normy Dr inż. Grażyna Ożarek UKSW, Warszawa, Listopad 2015 Dr inż. Grażyna Ożarek Projekt Badawczo- Rozwojowy realizowany na rzecz bezpieczeństwa Bardziej szczegółowo ZARZĄDZENIE NR 100/2015 WÓJTA GMINY STEGNA. z dnia 16 czerwca 2015 r.
ZARZĄDZENIE NR 100/2015 WÓJTA GMINY STEGNA w sprawie wyznaczenia administratora bezpieczeństwa informacji oraz zastępców administratora bezpieczeństwa informacji w Urzędzie Gminy w Stegnie. Na podstawie Bardziej szczegółowo RAPORT Z AUDYTU WEWNĘTRZNEGO URZĘDU GMINY TRĄBKI WIELKIE
RAPORT Z AUDYTU WEWNĘTRZNEGO URZĘDU GMINY TRĄBKI WIELKIE NA DZIEŃ 1.10.2012 r. 1. Nazwa jednostki. Urząd Gminy Trąbki Wielkie w myśl art. 9 oraz art. 274 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych Bardziej szczegółowo Opracowanie: Elżbieta Paliga Kierownik Biura Audytu Wewnętrznego Urząd Miejski w Dąbrowie Górniczej
Opracowanie: Elżbieta Paliga Kierownik Biura Audytu Wewnętrznego Urząd Miejski w Dąbrowie Górniczej Uregulowania prawne Ustawa z dnia 27 sierpnia 2009 roku o finansach publicznych (Dz.U. z 2013 r., poz. Bardziej szczegółowo Bezpieczeństwo dziś i jutro Security InsideOut
Bezpieczeństwo dziś i jutro Security InsideOut Radosław Kaczorek, CISSP, CISA, CIA Partner Zarządzający w IMMUSEC Sp. z o.o. Radosław Oracle Security Kaczorek, Summit CISSP, 2011 CISA, Warszawa CIA Oracle Bardziej szczegółowo Audyt funduszy strukturalnych
Audyt funduszy strukturalnych AGROTEC POLSKA SP. Z O.O. Audyt funduszy strukturalnych Planowany czas wykładu: 45 min. Prowadzący: Marcin Wójtowicz. Kwalifikacje i doświadczenie prowadzącego: Certyfikowany Bardziej szczegółowo Spółki podlegające badaniu mogą odnieść istotne korzyści z udziału biegłego rewidenta w inwentaryzacji.
Spółki podlegające badaniu mogą odnieść istotne korzyści z udziału biegłego rewidenta w inwentaryzacji. Jednym z istotnych elementów procesu zamknięcia roku i przygotowania sprawozdania finansowego jest Bardziej szczegółowo INSTRUKCJA ZARZĄDZANIA SYSTEMAMI INFORMATYCZNYMI W COLLEGIUM MAZOVIA INNOWACYJNEJ SZKOLE WYŻSZEJ
Załącznik nr 3 do Zarządzenia nr 1/2013 Rektora Collegium Mazovia Innowacyjnej Szkoły Wyższej z dnia 31 stycznia 2013 r. INSTRUKCJA ZARZĄDZANIA SYSTEMAMI INFORMATYCZNYMI W COLLEGIUM MAZOVIA INNOWACYJNEJ Bardziej szczegółowo AuditSolutions OFERTA WSPÓŁPRACY. Bezpieczeństwo Informacji. Systemy Teleinformatyczne. Wymiana Informacji. Rozwiązania dla sektora publicznego
AuditSolutions Rozwiązania dla sektora publicznego Bezpieczeństwo Informacji Systemy Teleinformatyczne Wymiana Informacji OFERTA WSPÓŁPRACY Nowy obowiązek w zakresie przetwarzania informacji szansa czy Bardziej szczegółowo Do wszystkich Wykonawców uczestniczących w postępowaniu
WZP.6151.35.2012 2012-16396 Warszawa, 2012-09-14 Do wszystkich Wykonawców uczestniczących w postępowaniu Dotyczy: postępowania o udzielenie zamówienia publicznego prowadzonego w trybie przetargu nieograniczonego Bardziej szczegółowo 2016 © DocPlayer.pl Polityka prywatności | Warunki świadczenia usług | Zwrotny adres