IT-revision Martin Malm CISA CISSP Verksamhetschef IT Governance Transcendent Group www.transcendentgroup.com
Målsättning Öka förståelsen för nyttan med IT-revision
Vad innebär intern IT-revision? Jmf extern revision Agerar på ledningens eller styrelsens uppdrag (inte bolagsstämmans) Styrs av andra regler och normer Högre grad av flexibilitet Inte enbart fokus redovisningen utan även på effektivitet och ändamålsenlighet
Definition internrevision (IIA) Internrevision är en oberoende, objektiv säkrings- och rådgivningsverksamhet med uppgift att tillföra värde och förbättra verksamheten i olika organisationer. Internrevisionen hjälper organisationen att nå sina mål genom att systematiskt och strukturerat värdera och öka effektiviteten i riskhantering, styrning och kontroll samt ledningsprocesser.
Vad är IT-revision dess uppgift? Identifiera Brister i intern kontroll Problem i investeringsprojekt Utvärdera Risken Konsekvensen Ansvaret Kostnaden Initiera förändringar Rekommendera Vägleda Prioritera Uppföljning Förändring / Genomförda åtgärder
Varför IT-revision? IT-området allt mer kritiskt Hög förändringstakt Bedrägerier Lagkrav och branschkrav Högt IT-beroende Effektivitet och kvalitet
Varför så många IT-problem i organisationer? Ledningens (bristande) förståelse IT strategisk funktion/process Hög förändringstakt Låg förståelse kring intern ITkontroll Komplexa system och systemsamband Kostnader
Vad är det vi vill undvika genom IT-revision? Att felaktig finansiell information skapas Att bryta mot lagar som PuL, ABL, Sekretesslagen Att avslöja företagshemligheter, etc. Att få bristande ändamålsenlighet och effektivitet Att få funktionsförlust (tillgänglighet) Att känslig information avslöjas för obehörig (sekretess, konfidentialitet) Att information ändras av misstag eller av någon obehörig (riktighet, integritet)
Vad uppnår vi genom IT-revision? Skydda kunders och andra intressenters intressen informationstillgångar Stärka organisationens varumärke säkerhetsmedvetandet internt strukturen på informationshantering Skapa gemensamma värderingar om säkerhet möjligheter för att leda säkerhetsarbetet Reducera förluster och kostnader för olika skyddsåtgärder MÅL: Minska risken i verksamheten till godtagbar nivå!
Metod - Utvärdering Kontrollmål Test av kontrollmål Bedömning / Nuläge Förbättringsförslag En formell, dokumenterad rutin för behörighetsadministration finns upprättad. Rutinen omfattar riktlinjer för vilka personer/roller som skall tilldelas vilka rättigheter. Klarlägg genom intervju och granskning av dokumentation att en formell, dokumenterad rutin för behörighetsadministration finns upprättad samt att innehållet i dokumentet motsvarar praxis. Vi har noterat att det saknas en dokumenterad rutin för hur behörigheter i nätverk, operativsystem och applikationer ska hanteras och administreras. Instruktioner avseende ansvar och dokumentationskrav finns inte dokumenterade. Vi rekommenderar att en formell rutin för hantering av behörighetsadministration upprättas där ägarskap för processen definieras. Rutinen bör innehålla krav på spårbarhet av godkännande och tilldelning av behörigheter. Utgår från standarder: ISO/IEC 27001 ISO/IEC 20000 COBIT Etc.. Hur sker kontrollen? Intervju Dokumentgranskning Teknisk analys Beskrivning av Nuläge Iakttagelser Risker IT-Revisorns rekommendationer
Förbättringsförslag/Rekommendationer OMRÅDE: Generell behörighetshantering NOTERAT Vi har noterat att det saknas en dokumenterad rutin för hur behörigheter i nätverk, operativsystem och applikationer ska hanteras och administreras. Instruktioner avseende ansvar och dokumentationskrav finns inte dokumenterade. GRAD AV RISK 1 RISK Utan formella rutiner avseende behörighetsförändringar ökar risken för brister i integritet och sekretess, samt tillgänglighet till system och finansiell information. REKOMMENDATION Vi rekommenderar att en formell rutin för hantering av behörighetsadministration upprättas där ägarskap för processen definieras. Rutinen bör innehålla krav på spårbarhet av godkännande och tilldelning av behörigheter. Rutinen bör även täcka in såväl behörighet till nätverk som till operativsystem och applikationer. PLAN FÖR INFÖRANDE: ATT VERKSTÄLLAS (DATUM): ANSVARIG: Utformat för att användas som arbetsdokument i förändringsprocessen
Ett axplock av erfarenheter Brister i styrning av IT Avsaknad av strategi och policy Otydligt ansvar, specifikt avseende informationssäkerhet Otydlig eller avsaknad av dokumenterad rutin Många personer med felaktiga och omfattande rättigheter Brister i rutinen för programförändringar (Change Management) Otillräckligt testade och felaktiga program tas i produktion Brister i logiskt skalskydd (skydd mot externa intrång) Datastöld Avsaknad av spårbarhet (loggning) avsaknad av kontroll av loggar Avsaknad av modell för informationsklassificering Avsaknad av kontinuitetsplanering (katastrofplan)
Frågor? Martin Malm CISA CISSP martin.malm@transcendentgroup.com 0733-359426