Audyt bezpieczeństwa w polskich firmach

W poprzedniej ankiecie pytaliśmy naszych czytelników o ich doświadczenie związane z audytem bezpieczeństwa czyli tzw. testami penetracyjnymi oraz oceną bliżej niezdefiniowanej polityki i procedur bezpieczeństwa.

W głosowaniu wzięło udział 1198 osób. 205 z nich oświadczyło, że w ich firmie był przeprowadzony audyt bezpieczeństwa i aż 71% było zadowolonych z jego efektów. Dość zaskakujące są jednak plany osób, które dopiero zamierzają przeprowadzić audyt bezpieczeństwa w swojej firmie.

Testy penetracyjne planuje przeprowadzić 162 respondentów jednak, aż 73% z nich zamierza je wykonać we własnym zakresie. Takie podejście całkowicie mija się z celem…

Audytem nazywamy postępowanie dla oceny zgodności audytowanego obiektu z wzorcem (normą, wzorcem proceduralnym lub arbitralnie ustawionym wektorem wartości pewnych cech) prowadzone przez stronę niezależną (firmę, osobę lub zespół).

W przypadku audytu z zakresu bezpieczeństwa teleinformatycznego ta niezależność powinna być zachowana w stosunku do organizacji/zespołu budującego system zabezpieczeń, dostawców sprzętu i oprogramowania oraz organizacji podlegającej przeglądowi – w tym sensie, że w skład zespołu audytowego nie mogą wchodzić pracownicy organizacji zlecającej audyt.

W przeciwnym przypadku można mówić co najwyżej o „przeglądzie zabezpieczeń wg. listy audytowej”, a nie o niezależnym audycie.