În Regulamentul din 22 martie 2021 pentru atestarea și verificarea auditorilor de securitate cibernetică, în Anexa 7 există o cerință: Se va verifica și opina cu privire la plauzibilitatea metodologiei/tehnicilor utilizate, precum și asupra măsurilor de control implementate în vederea gestionării riscurilor operaționale identificate. În general, o ”metodologie de management al riscurilor” include: un proces…
Sînt sigur, în proporție de 95 %, că în cazul ”auditului IT” foarte puțin profesioniști au folosit eșantionarea atunci cînd au testat conformitatea controalelor. Există suficiente explicații pentru a descrie ”drumul” pe care s-a ajuns aici, dar deși nu este rolul meu să scriu despre asta, voi menționa ”root cause”: nu se învață așa ceva…
Să încep cu o primă concluzie pe care o dezvolt în continuare: GDPR este o reglementare necesară dar a apărut cînd „pacientul„ era deja în comă. Dată(e)+Semnificație=Informație Teoria despre care tot spun și scriu că este bună dacă, după ce o înțelegi, o aplici corespunzător spune așa:datele sînt niște”chestii” brute fără prea mare însemnătate pentru…
Preambul Pînă astăzi, ANSPDCP a amendat (nu cred că amenzile sînt definitive) 4 organizații, după cum urmează: 130.000 euro pentru dezvăluirea în cazul a 337.042 de persoane a CNP și adresa personală (în site); 15.000 euro pentru divulgarea în mediul online a unei liste cu 46 persoane care serveau micul dejun la un hotel (…
(O completare la articolul anterior) În puține cazuri am întîlnit „IT risk assessment„, „vulnerability assessment„ sau „pen test„ care să fi fost privite altfel decît izolat, la nivelul unor echipamente/subsisteme. Rezultatul obținut în urma unor astfel de activități nu oferă însă recomandări pentru protejarea afacerii. Afli ceva, dar nu știi cu exactitate/suficient de detaliat impactul…
ADRIAN B. MUNTEANU 