La întîlnirea ISACA-DNSC din 14.06 au fost adresate mai multe întrebări care abordau subiectul SCADA atît din perspectiva OSE cît și a auditorului. În continuare voi explica înțelegerea și abordarea mea cu privire la acest subiect (N.B – există o probabilitate să nu fie corecte) 1. Perspectiva OSE Presupunem că în cazul unui OSE doar…
În rezumat. În Anexa 6 din Regulamentul pentru atestarea și verificarea auditorilor se face următoarea precizare: să înțeleagă tipurile de riscuri și oportunități asociate activității de audit, precum și principiile abordării auditului bazate pe managementul riscurilor; Ca auditor nu poți garanta clientului tău sau altor utilizatori ai raportului de audit (de securitate, de exemplu) că ”măsurile tehnice…
Pe data de 13 mai Consiliul și Parlamentul European au convenit asupra noi versiuni a directivei NIS (v2). Odată adoptată, noua directivă va înlocui actuala directivă privind securitatea rețelelor și a sistemelor informatice (Directiva NIS). Va intra în vigoare în 12 zile de la publicare iar statele membre au la dispoziție 21 de luni pentru a…
Titlul nu este altceva decît cerința de la Art. 10 din Ordinul cu cerințele minime de securitate aplicabile OSE: ([A181]. Instrumente de conștientizare. OSE pune la dispoziția angajaților instrumente necesare pentru conștientizarea și educarea acestora cu privire la tipurile de amenințări de securitate informatică și măsurile de protecție corespunzătoare. [A182]. Instruirea și prezentarea securității. OSE instituie un…
Să spun că asigurarea securității cibernetice înseamnă o amestecătură de soluții tehnice și procese care diferă de la caz la caz și care costă, este un truism. Să spun că piața este plină de soluții comerciale și open-source din care pare dificil de ales, iarăși este un truism. În mod tradițional, scopul principal al unui…
Explicația cel mai des auzită în ultimul timp cu privire la auditul pe legea NIS: ”mai este timp”. Așa este, auditul extern se realizează la interval de 2 ani (în cazul celor mai mulți OSE). Dar, pînă la acest audit, managementul OSE trebuie să execute anual anumite activități care sînt revizuite de către auditor: Legea…
În Regulamentul din 22 martie 2021 pentru atestarea și verificarea auditorilor de securitate cibernetică, în Anexa 7 există o cerință: Se va verifica și opina cu privire la plauzibilitatea metodologiei/tehnicilor utilizate, precum și asupra măsurilor de control implementate în vederea gestionării riscurilor operaționale identificate. În general, o ”metodologie de management al riscurilor” include: un proces…
În prezentarea de la Eset Security Days am pornit de la opinia mea: multe din cele ce se fac sau ar trebui făcute în practică în domeniul securității cibernetice își au rădăcina în zona militară. De ce? Pentru că ”armata” înseamnă rigoare (regulamente/proceduri), ierarhie și disciplină (RACI), management de risc și chiar ”zero trust”, iar…
Pînă la ordinul 1323/2020 emis de DNSC, în legislația noastră nu putea fi identificată nici o definiție cu privire la ce este și care este conținutul unei politici de securitate. Putem constata că, de multe ori, termenii politică, plan, program (de securitate) sînt folosiți chiar incorect.( Și ”economia politică” probabil este o traducere a ”economic…
Răspunsul cel mai scurt: nu înseamnă bife puse în diferite liste de verificare și documente/raport pentru a trece de controlul (formalismul) DNSC, raport în care se scrie că dacă ”X nu există” atunci ”copy-paste din Ordinul 1323”. Auditul impus de DNSC (audit de conformitate) este o cerință legală dar este și instrumentul prin care OSE…
ADRIAN B. MUNTEANU 