Auditarea sistemelor informatice utilizate de entităţile autorizate, reglementate şi supravegheate de CNVM

A fost publicată Instrucțiunea nr. 2 /2011 privind auditarea sistemelor informatice utilizate de entităţile autorizate, reglementate şi supravegheate de CNVM. Mi se pare a fi printre puţinele acte normative din domeniu ce dovedeşte coerenţă. De exemplu “Raport de audit – instrumentul prin care se comunică scopul auditării, obiectivele urmărite, normele/standardele aplicate, perioada acoperită, natura, întinderea,…

Metodele cantitative de evaluare a riscurilor: Fata Morgana (sau de ce cred eu că aceste modele NU SÎNT VALIDE)

  Într-o postare anterioară aveam următoarea imagine: Din cărți sau metodologii mai mult sau mai puțin cunoscute sîntem sfătuiți să folosim probabilități pe baza datelor actuariale/statistice din istoria firmei. Reformulînd: sîntem în PREZENT și analizăm TRECUTUL. Din logurile sistemului observăm că am avut un număr X de evenimente negative cu impactul Y1, Y2…pe parcursul unui an. Calculăm probabilitatea. Atunci, în trecut, acel eveniment a fost afectat de anumite variabile și s-a petrecut într-un anumit context. Ne concentrăm de fapt pe ceea ce ȘTIM deja. Cu siguranță însă au fost evenimente care s-au întîmplat altora dar nouă nu. Altfel spus, am fost de partea cealaltă a eșantionului. Despre aceste evenimente NU ȘTIM NIMIC și drept urmare le omitem inconștient din analiza noastră. Nu facem nici o analiză cu privire la ceea ce…

Ce ar mai trebui să știe un CISA ? (… înainte de a…)

Cele 5 posturi anterioare au fost foarte concise. Am evitat poveștile și opiniile personale. Consider că fiecare trebuie să citească şi să înţeleagă. Nu e bine să gîndim cu toţii la fel. În percepția mea COBIT este “diamantul coroanei”. Nu doar în jurul său ci şi folosindu-l drept fundament, ISACA construieşte intens (exemple): Există însă…

Ce trebuie să știe un CISA? (Partea a V a – Protecția activelor informaționale)

  Tehnici cu privire la proiectarea, implementarea și monitorizarea controalelor de securitate, inclusiv programele de conștientizare a securității informațiilor Procesul de monitorizare și răspuns la incidentele de securitate (proceduri de escalare, reacșie rapidă….) Controlul accesului logic cu privire la identificare și autentificare și restricționarea utilizatorilor la funcțiile și datele autorizate de management controale de securitate…