Revizija Informacionih Sistema

Revizija informacionih sistema

Aldina Bibovic 11/14/2013

Revizija informacionih sistema November 14, 2013

Sadržaj ....................................................................................... .............................................. ............................................... ......... 2 Sadržaj .........................................

Proces revizije informacionih sistema ................................................................................................. 4 Upravljanje funkcijom revizije ........................... ......................................... ........................... ........................... ............................ ............................ ............................ ............................ ..................... ....... 4 Kodeks profesionalne etike ............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ....................... ......... 5 Analiza rizika ............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ........................... .................. ..... 6 Interne kontrole............................ .......................................... ............................ ........................... ........................... ............................ ............................ ............................ ............................ ............................ .............. 7 IS kontrolni ciljevi ............................ .......................................... ............................ ............................ ........................... ........................... ............................ ............................ ............................ ..................... ....... 8 IS kontrole ........................... ......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ .................. .... 8 Provođenje revizije ........................... ......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ....................... ......... 9 Revizorska dokumentacija.......................... ........................................ ............................ ............................ ............................ ............................ ............................ ............................ ..................... ....... 10 Vrste revizija .......................... ........................................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 10 Revizijski rizici ........................... ........................................ ........................... ............................ ............................ ............................ ............................ ............................ ............................ .......................... ............ 11 .......................... 13 Korporativno upravljanje informatikom – IT Governance......................................... Governance...................................................................

Šta je korporativno upravljanje informatikom? ................. ............................... ............................ ............................ ............................ ............................ ........................... ................ ... 13 Prakse praćenja i nadzora nad informacionim sistemom ........................... ......................................... ............................ ............................ ............................ ................... ..... 14 IT Strategy komitet i IT Steering komitet (Odbori za upravljanje informacionim sistemom) ............................ .............................. .. 15 IT Balanced Scorecard ............................ .......................................... ............................ ........................... ........................... ............................ ............................ ............................ .......................... ............ 16 Upravljanje informacijskom sigurnošću .......................... ........................................ ............................ ............................ ............................ ............................ ............................ .............. 16 Enterprise Architecture (EA) ........................... ......................................... ............................ ............................ ............................ ............................ ............................ ............................ ................ .. 18 Strategija informacionog sistema .......................... ........................................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 18 IT investicije i raspodjela resursa .............................. ........................................... ........................... ............................ ............................ ............................ ............................ .......................... ............ 19 Politike i procedure....................................... ..................................................... ............................ ............................ ............................ ............................ ............................ ............................ ....................... ......... 20 Politike............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ ..................... ....... 20 Politika informacijske sigurnosti........................ sigurnosti...................................... ............................ ............................ ............................ ............................ ............................ ............................ .............. 21 Politika prihvatljivog korištenja ........................... ......................................... ............................ ............................ ............................ ............................ ............................ .......................... ............ 21 Procedure ............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ........................... ........................... ................. ... 22 .................................................................. ......................... 23 Akvizicija, razvoj i implementacija informacionih sistema .........................................

Upravljanje portfoliom / programom.................................... .................................................. ............................ ............................ ............................ ............................ .......................... ............23 Poslovni slučaj – slučaj – razvoj i odobravanje .......................... ........................................ ............................ ............................ ............................ ............................ ............................ ..................... ....... 24 Struktura upravljanja projektima.............................. ........................................... ........................... ............................ ............................ ............................ ............................ .......................... ............ 24 Opći aspekti ........................... ......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 24 Projektne organizacijske forme i uloge i odgovornosti ........................... ......................................... ............................ ........................... ........................... ................... ..... 24 26 Informacioni sistemi - Operacije, održavanje i podrška .................................................................... .. 26

Operacije informacionog sistema .......................... ........................................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 26

2/39


Sadržaj ....................................................................................... .............................................. ............................................... ......... 2 Sadržaj .........................................

Proces revizije informacionih sistema ................................................................................................. 4 Upravljanje funkcijom revizije ........................... ......................................... ........................... ........................... ............................ ............................ ............................ ............................ ..................... ....... 4 Kodeks profesionalne etike ............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ....................... ......... 5 Analiza rizika ............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ........................... .................. ..... 6 Interne kontrole............................ .......................................... ............................ ........................... ........................... ............................ ............................ ............................ ............................ ............................ .............. 7 IS kontrolni ciljevi ............................ .......................................... ............................ ............................ ........................... ........................... ............................ ............................ ............................ ..................... ....... 8 IS kontrole ........................... ......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ .................. .... 8 Provođenje revizije ........................... ......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ....................... ......... 9 Revizorska dokumentacija.......................... ........................................ ............................ ............................ ............................ ............................ ............................ ............................ ..................... ....... 10 Vrste revizija .......................... ........................................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 10 Revizijski rizici ........................... ........................................ ........................... ............................ ............................ ............................ ............................ ............................ ............................ .......................... ............ 11 .......................... 13 Korporativno upravljanje informatikom – IT Governance......................................... Governance...................................................................

Šta je korporativno upravljanje informatikom? ................. ............................... ............................ ............................ ............................ ............................ ........................... ................ ... 13 Prakse praćenja i nadzora nad informacionim sistemom ........................... ......................................... ............................ ............................ ............................ ................... ..... 14 IT Strategy komitet i IT Steering komitet (Odbori za upravljanje informacionim sistemom) ............................ .............................. .. 15 IT Balanced Scorecard ............................ .......................................... ............................ ........................... ........................... ............................ ............................ ............................ .......................... ............ 16 Upravljanje informacijskom sigurnošću .......................... ........................................ ............................ ............................ ............................ ............................ ............................ .............. 16 Enterprise Architecture (EA) ........................... ......................................... ............................ ............................ ............................ ............................ ............................ ............................ ................ .. 18 Strategija informacionog sistema .......................... ........................................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 18 IT investicije i raspodjela resursa .............................. ........................................... ........................... ............................ ............................ ............................ ............................ .......................... ............ 19 Politike i procedure....................................... ..................................................... ............................ ............................ ............................ ............................ ............................ ............................ ....................... ......... 20 Politike............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ ..................... ....... 20 Politika informacijske sigurnosti........................ sigurnosti...................................... ............................ ............................ ............................ ............................ ............................ ............................ .............. 21 Politika prihvatljivog korištenja ........................... ......................................... ............................ ............................ ............................ ............................ ............................ .......................... ............ 21 Procedure ............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ........................... ........................... ................. ... 22 .................................................................. ......................... 23 Akvizicija, razvoj i implementacija informacionih sistema .........................................

Upravljanje portfoliom / programom.................................... .................................................. ............................ ............................ ............................ ............................ .......................... ............23 Poslovni slučaj – slučaj – razvoj i odobravanje .......................... ........................................ ............................ ............................ ............................ ............................ ............................ ..................... ....... 24 Struktura upravljanja projektima.............................. ........................................... ........................... ............................ ............................ ............................ ............................ .......................... ............ 24 Opći aspekti ........................... ......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 24 Projektne organizacijske forme i uloge i odgovornosti ........................... ......................................... ............................ ........................... ........................... ................... ..... 24 26 Informacioni sistemi - Operacije, održavanje i podrška .................................................................... .. 26

Operacije informacionog sistema .......................... ........................................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 26

2/39


Upravljanje IT servisima ........................... ......................................... ............................ ............................ ............................ ............................ ............................ ............................ ....................... ......... 27 Hardver ........................... ........................................ ........................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ .......................... ............ 27 Softver ............................ .......................................... ............................ ............................ ........................... ........................... ............................ ............................ ............................ ............................ .......................... ............ 28 .......................................................................................... .............................................. ................. 29 Zaštita informacijske imovine ............................................

Važnost upravljanja sigurnošću informacija ........................... ......................................... ............................ ........................... ........................... ............................ .......................... ............ 29 Ključni elementi upravljanja informacijskom sigurnošću ............................ .......................................... ............................ ............................ ............................ .............. 29 Popis i klasifikacija informacijske imovine.......................... imovine....................................... ........................... ............................ ............................ ............................ .......................... ............ 30 Pristup informacionom sistemu ........................... ......................................... ........................... ........................... ............................ ............................ ............................ .......................... ............ 31 Upravljanje sigurnosnim incidentima..................................... ................................................... ............................ ............................ ............................ ............................ ..................... ....... 31 Logički pristup ............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 32 Identifikacija i autentifikacija ............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ..............32 Upravljanje lozinkama ........................... ......................................... ............................ ............................ ............................ ............................ ............................ ............................ .......................... ............ 32 Sistemski i operativni zapisi u nadzoru kontrola pristupa........................... ......................................... ............................ ............................ ............................ .............. 33 Mrežna sigurnost ............................ .......................................... ............................ ............................ ............................ ............................ ........................... ........................... ............................ ........................ .......... 33

Okviri i metode provedbe revizije informacionih sistema .................................................................. 35 CobiT ............................ .......................................... ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 35 ISO/IEC 27000 standardi .......................... ........................................ ............................ ............................ ............................ ............................ ............................ ............................ ............................ .............. 37 ITIL ........................... ......................................... ............................ ............................ ............................ ........................... ........................... ............................ ............................ ............................ ............................ ................... ..... 38

Literatura .............................................. .............................................. ............................................. 39

3/39


Proces revizije informacionih sistema Funkcijom revizije informacionog sistema treba upravljati na takav način koji osigurava da će različite aktivnosti koje provodi revizorski tim ispuniti revizorske ciljeve, istovremeno zadržavajući nezavisnost i kompetentnost. Nadalje, upravljanje funkcijom revizije treba isporučiti dodatnu vrijednost višem menadžmentu, u segmentu efikasnijeg upravljanja IT funkcijom i postizanja poslovnih ciljeva. Zadaci unutar domena procesa revizije informacionih sistema: 1. Razviti i implementirati strategiju revizije zasnovanu na procjeni rizika i usklađenu sa IT revizijskim standardima, kako bi se osiguralo da su ključna područja uključena. 2. Planirati pojedinačne angažmane u cilju utvrđivanja da li je informacioni sistem adekvatno zaštićen, kontrolisan i donosi li vrijednost organizaciji. 3. Provoditi revizije u skladu sa IT revizijskim standardima, kako bi se postigli planirani ciljevi revizije. 4. Izvijestiti o nalazima revizije i dati preporuke ključnim zainteresovanim stranama. 5. Pratiti rješavanje nalaza revizije u cilju osiguranja da su pravovremeno poduzete adekvatne mjere na njihovom rješavanju.

Upravljanje funkcijom revizije Funkcija revizije može biti organizovana interno i eksterno. Uloga interne revizije informacionog sistema (IS) treba biti uspostavljena kroz Program revizije ( Audit Charter ). Revizija IS može biti dio interne revizije, funkcionisati kao zasebna grupa, il i biti integrisana sa finansijskom revizijom da obezbijedi osiguranje u odnosu na IT povezane kontrole za finansijske revizore. Dakle, Program revizije može uključivati reviziju IS kao funkciju podrške. Program revizije treba sadržavati jasno izraženu odgovornost menadžmenta, ciljeve i delegiranje autoriteta funkciji revizije IS, te autoritet, opseg i odgovornost funkcije revizije. Program treba odobriti odbor za reviziju (ako postoji), ili najviši nivo menadžmenta. Ako funkciju revizije IS pruža eksterna kompanija, opseg i ciljevi njenih usluga trebaju biti dokumentovani u formalnom ugovoru ili pismu namjere. U svakom slučaju, funkcija interne revizije treba biti neovisna i odgovarati odboru za reviziju (ako postoji), ili najvišem nivou menadžmenta. Revizor IS mora biti tehnički kompetentan i imati vještine i znanja neophodna za provođenje revizije IS. Imajući u vidu velike i brze promjene u informacionim tehnologijama, revizori IS moraju kontinuirano unapređivati svoje kompetencije i sticati nova znanja, kako u oblasti revizorskih tehnika, tako i u različitim tehnološkim područjima. Strateški cilj interne revizije informacionih sistema (kao i interne revizije općenito) treba biti podrška misiji organizacije. Rad interne revizije informacionog sistema treba se zasnivati na dugoročnim i kratkoročnim planovima. Cilj dugoročnih planova je izrada općih smjernica i definisanje resursa za

4/39


efikasno provođenje ciljeva revizije. Kratkoročno planiranje odnosi se na planiranje konkretnog angažmana, koji kao i svaki drugi projekt ima tačno određen početak i kraj i konkretne ciljeve. Osnov za planiranje je procjena povezanih rizika. Za svaki pojedinačni angažman treba definisati konkretne ciljeve, odnosno područja revizije, uzimajući u obzir razloge zbog kojih se provodi revizija, te specifičnosti organizacije i samog informacionog sistema. Potrebno je donijeti odluku o „dubini“ revizije, tj. nivou pojedinosti do kojeg će se ići prilikom pregleda predmetnog područja revizije. Naime, sve komponente informacionog sistema nisu jednako važne ili kritične za kvalitetno obavljanje svih procesa ili aktivnosti, a različita je i njihova izloženost rizicima. U fazi pripreme revizije, na osnovu inicijalnog pregleda i procjene, potrebno je klasifikovati komponente informacionog sistema, uzimajući u obzir: važnost (kritičnost) komponente sa stanovišta funkcionisanja informacionog sistema, te njenu izloženost rizicima. Na ovaj način se određuje „dubina“ revizije. Prilikom planiranja revizije, revizor treba imati razumijevanje kompletnog područja koje je predmet revizije. Ovo uključuje i različite poslovne prakse i funkcije povezane sa predmetom revizije, kao i tipove informacionih sistema i tehnologije koje podržavaju njihove aktivnosti. Također, treba poznavati i regulatorni okvir u kojem se poslovne aktivnosti odvijaju. U tom pogledu razlikuju se dva segmenta: regulatorni zahtjevi koji se odnose na reviziju informacionih sistema i regulatorni zahtjevi koji se odnose na sam predmet revizije. Okvirni koraci za planiranje revizije: - Steći razumijevanje misije, ciljeva, svrhe poslovanja i poslovnih procesa (uključujući i zahtjeve kao što su raspoloživost, integritet, sigurnost i povjerljivost), - Identifikovati politike, standarde i smjernice, procedure i organizacijsku strukturu, - Provesti analizu rizika, - Definisati opseg i ciljeve revizije, - Razviti pristup ili strategiju revizije, - Dodijeliti osoblje (ljudske resurse) angažmanu.

Kodeks profesionalne etike 1. Podržavati implementaciju i ohrabrivati usklađenost sa pripadajućim standardima, procedurama i kontrolama koji se odnose na informacione sisteme. 2. Izvršavati svoje zadaće objektivno, sa dužnom pažnjom i profesionalnom brigom, u skladu sa profesionalnim standardima i najboljim praksama. 3. Služiti interesima zainteresovanih strana na zakonit i pošten način, održavajući istovremeno visoke standarde ponašanja i karaktera, ne upuštajući se u nečasne aktivnosti . 4. Održavati privatnost i povjerljivost informacija do kojih se dođe u toku angažmana, osim ukoliko otkrivanje tih informacija ne zahtijeva zakonski autoritet. Takve informacije ne smiju se koristiti za ličnu korist, niti smiju biti otkrivene trećoj strani. 5. Održavati vlastite profesionalne kompetencije i poduzimati samo one angažmane za koje se razumno može očekivati da će biti izvršeni sa postojećim profesionalnim kompetencijama. 6. Obavještavati uključene strane o rezultatima provedenog rada, otkrivajući sve značajne detalje koji su im potrebni. 7. Podržavati profesionalnu edukaciju zainteresovanih strana u cilju unapređenja njihovog razumijevanja sigurnosti i kontrola informacionog sistema.

5/39


Analiza rizika Analiza rizika je sastavni dio procesa planiranja revizije i pomaže identificiranju rizika i ranjivosti tako da revizor IS može procijeniti kontrole neophodne za umanjenje tih rizika. U ocjenjivanju IT povezanih poslovnih procesa, razumijevanje odnosa između rizika i kontrole je veoma važno za revizora IS. Revizor IS treba biti u stanju identifikovati i razlikovati tipove rizika i kontrole primjenjene u cilju umanjenja rizika. Treba posjedovati znanje o uobičajenim poslovnim rizicima, povezanim tehnološkim rizicima i relevantnim kontrolama. Mora biti u stanju ocijeniti procjenu rizika i upravljačke tehnike korištene od strane poslovnog menadžmenta i napraviti procjenu rizika u cilju planiranja revizije. Mnogo je različitih definicija rizika (rizik ima različito značenje za različite ljude), od kojih su u nastavku navedene dvije, naprikladnije za ulogu revizora IS. „Potencijal da data prijetnja iskoristi ranjivost imovine i time uzrokuje štetu organizaciji.“1 „IT rizik je poslovni rizik – tačnije poslovni rizik povezan sa korištenjem, vlasništvom, operacijama, uticajem i prihvatanjem IT unutar organizacije. Sastoji se od IT događaja koji mogu imati potencijalni uticaj na poslovanje. Uključuje i neizvjesnu frekvenciju i neizvjesnu magnitudu i stvara izazove u postizanju strateških ciljeva.“ 2 IT rizici trebaju biti tretirani kao svi ostali ključni rizici prisustni u organizaciji: tržišni rizik, kreditni rizik, operativni rizik (svi spadaju u kategoriju „neuspjeh u ispunjavanju strateških ciljeva“). Dok su ostali rizici davno uključeni u korporativni proces odlučivanja, IT rizici su još uvijek vrlo često prepušteni na brigu IT specijalistima. Procjena rizika obuhvata sljedeće korake: (i) Identifikaciju i klasifikaciju imovine informacionog sistema, (ii) identifikaciju prijetnji informacionom sistemu organizacije ili poslovnim procesima koje sistem podržava, (iii) identifikaciju internih ili eksternih ranjivosti, (iv) identifikaciju štete (tj. negativne uticaje) koji mogu nastati, s obzirom na potencijal prijetnji da iskoriste postojeće ranjivosti, (v) određivanje vjerovatnoće da će prijetnje iskoristiti ranjivosti i da će šteta nastati. Konačni rezultat je određivanje rizika, kao funkcije veličine negativnog uticaja i vjerovatnoće da će on nastati: RIZIK = NEGATIVNI UTICAJ X VJEROVATNOCA

Procjena rizika se završava prioritizacijom definisanih i procijenjenih rizika. Obrada rizika informacionog sistema određuje kako organizacija odgovara na rizik, jednom kad se on odredi na temelju rezultata procjene rizika. Moguće su četiri opcije tretmana rizika: 1

ISO/IEC PDTR 13335-1 - Part 1: Concepts and models for information and communications technology security management

2

ISACA (2009.): The Risk IT Framework

6/39


umanjenje rizika, prihvatanje rizika, izbjegavanje rizika i prenos rizika. Koja će opcija biti izabrana zavisi od rezultata procjene rizika, očekivanih troškova implementacije i percipirane koristi. Ako se procijeni da se velike redukcije rizika mogu postići uz relativno male troškove, takva mogućnost treba biti izabrana. Generalno, treba nastojati smanjiti štetne posljedice rizika na najmanju moguću praktičnu mjeru. Četiri navedene opcije nisu međusobno isključive i mogu se kombinovati. • • • •

Za svaki identifikovani neprihvatljivi rizik definiše se jedna ili više mjera (scenarija) za njegov tretman. Potom se izvrši nova procjena rizika, uzimajući u obzir pretpostavljene mjere. Kao rješenje se bira onaj scenarij koji daje najbolje rezultate – najbolji omjer dobivenog i uloženog. Postupak se ponavlja, dok se ne dobije prihvatljiv nivo rizika. Procjena rizika nije jednokratna aktivnost, koja daje definitivne informacije donosiocima odluka. Procjena rizika se provodi kontinuirano, tokom cijelog životnog ciklusa razvoja sistema i kroz sve nivoe hijerarhije upravljanja rizicima, s učestalošću koja je u skladu sa značajem razmatranih komponenti informacionog sistema, odnosno poslovnih procesa koje oni podržavaju. Iz perspektive revizora IS, analiza rizika služi više nego jednoj svrsi: - pomaže revizoru da identifikuje rizike i prijetnje IT okruženju (rizike i prijetnje koje treba obraditi menadžment organizacije) i interne kontrole; ovisno o nivou rizika, ovo pomaže revizoru IS da odabere područja koja će ispitivati; - pomaže revizoru u njegovoj procjeni kontrola, kod planiranja revizije; - pomaže revizoru u određivanju ciljeva revizije; - podupire donošenje revizorskih odluka na temelju procjene rizika.

Interne kontrole Provođenje odabranih mjera za smanjivanje rizika ostvaruje se uvođenjem novih ili izmjenom postojećih kontrola. Kontrola je „sistem politika, procedura, praksi i organizacijskih struktura, koje su dizajnirane da obezbijede razumno uvjerenje da će poslovni ciljevi biti ostvareni, a neželjeni događaji spriječeni, otkriveni i/ili ispravljeni“ 3. Interne kontrole operišu na svim nivoima unutar organizacije, kako bi se smanjila izloženost rizicima koji potencijalno mogu negativno uticati na postizanje poslovnih ciljeva. Uprava je odgovorna za uspostavljanje okvira efektivnog i efikasnog sistema internih kontrola i za kontinuirani nadzor nad ovim sistemom. Svaki uposlenik pojedinačno ima svoju ulogu u ovom procesu. Kategorizacija internih IT kontrola je moguća po više kategorija: Prema objektu na koji se primjenjuju Opće IT kontrole o Aplikativne kontrole o Prema hijerarhijskoj poziciji o Korporativne kontrole •

•

3

ITGI: CobiT 4.1 – Framework, Control Objectives, Management Guidlines and Maturiy Models, IT Governance Institute

7/39


Upravljačke kontrole o Operativne kontrole Prema svrsi Preventivne o Detektivne o o Korektivne. o

•

I T c e l e p O t r o n k o

n e t i v a l i k l e A p n t r o k o

Korporativne kontrole Upravljacke kontrole

e e n l e v o e i n l t v r i o t r k t e n e t k n e e n r o v o k i l t o t o e k K n r t e n D v o e k r P

Operativne kontrole

IS kontrolni ciljevi

IS kontrolni ciljevi uključuju (na primjer): - Čuvanje imovine. (Informacioni sistem je siguran od neprikladnog pristupa.) - Osiguranje integriteta generalnog okruženja operativnog sistema - Osiguranje integriteta osjetljivih (kritičnih) aplikativnih sistema - Osiguranje prikladne identifikacije i autentifikacije korisnika IT resursa - Osiguranje efikasnih i efektivnih operacija - Usklađenost sa korisničkim zahtjevima, organizacijskim politikama i procedurama i primjenjivom zakonu - Osiguranje raspoloživosti IT servisa razvojem efikasnog plana kontinuiteta poslovanja - Unapređenje zaštite podataka i sistema razvojem plana odgovora na incidente - Osiguranje integriteta i pouzdanosti sistema implementacijom efektivnog procesa upravljanja promjenama. IS kontrole

IS kontrole uključuju (na primjer): - IT strategija - Organizacija i upravljanje - Pristup IT resursima, uključujući podatke i aplikacije - Metodologije razvoja sistema - Upravljanje promjenama - Operativne procedure - Fizičke kontrole...

8/39


Provođenje revizije Revizija informacionih sistema je proces prikupljanja i procjene dokaza na temelju kojih se može utvrditi kvalitet informacionog sistema, tj.: djeluje li informacioni sistem u funkciji očuvanja imovine organizacije, održava li se integritet podataka, omogućava li se djelotvorno ostvarivanje ciljeva poslovanja i koriste li se resursi na efikasan način. Pored toga, još jedan važan cilj revizije informacionih sistema je provjera zakonske usklađenosti. •

• • •

Nakon završetka pripreme i planiranja, postupak provođenja revizije informacionog sistema odvija se u sljedećim fazama: Analiza dokumentacije Prikupljanje revizijskih dokaza Intervjui, neformalni razgovori, opservacije o Tehničko ispitivanje i testiranje sistema o Analiza i vrednovanje revizijskih dokaza • •

•

U donjoj tabeli data je procjena utroška vremena po pojedinim fazama konkretnog revizijskog projekta (u procentima od ukupno potrebnog vremena).

Faze revizije informacionog sistema

% od ukupnog vremena trajanja revizije

Priprema i planiranje

10

Analiza dokumentacije

10

Prikupljanje revizijskih dokaza:

Intervjui, neformalni razgovori, opservacije

15

Tehničko ispitivanje i testiranje sistema

15

Analiza i vrednovanje revizijskih dokaza

25

Izrada revizorskog izvještaja

15

Aktivnosti nakon revizije ( follow-up)

10

Na početku revizije potrebno je prikupiti svu relevantnu dokumentaciju koja će: a) pomoći boljem razumijevanju predmeta revizije i b) poslužiti kao referenca u ostalim fazama provođenja revizije, za prikupljanje dokaza i formiranje revizorskog mišljenja. 9/39


Prikupljanje dokaza provodi se kroz: Intervjue, neformalne razgovore i opservacijom Tehničko ispitivanje i testiranje sistema. • •

Intervjui i ankete se provode sa ljudima koji o predmetnoj problematici znaju najviše, dakle, s ljudima koji se time bave u svakodnevnom poslu. Opservacijama se također mogu primijetiti određene prakse rada, koje se onda još eventualno mogu potvrditi (dokazati) na druge načine. Tehničko ispitivanje sistema provodi se korištenjem specijalizovanih alata za snimanje stanja u pojedinim dijelovima sistema. Alati mogu biti komercijalni, ili ih sam revizor može pripremiti / prilagoditi zahtjevima određenog projekta. Alati moraju biti neinvazivni, tj. ne smiju imati uticaja na rad informacionog sistema. Prikupljanje dokaza tehničkim ispitivanjem i testiranjem mora biti pouzdano, tj. treba se spriječiti mogućnost manipulacije rezultatima testiranja. Nakon što su dokazi prikupljeni, potrebno ih je vrednovati, tj. dati ocjenu revidiranog područja informacionog sistema. Mjerilo očuvanja imovine i integriteta podataka je očekivani gubitak koji može nastati ukoliko se imovina uništi ili upotrijebi u nedozvoljene svrhe, ili ukoliko izgubi svoja svojstva neophodna za funkcionisanje informacionog sistema. Vrednovanje djelotvornosti sistema zasniva se uglavnom na subjektivnoj procjeni i percepciji pojedinih elemenata sistema (percipirana korist i percipirana jednostavnost upotrebe), dok se efikasno korištenje resursa može odrediti egzaktno (mjerenjem perfomansi sistema). Treba napomenuti da postoje različite metodologije čije korištenje olakšava ocjenjivanje sistema. Revizorski izvještaj treba se sastojati obavezno od sažetka namijenjenog višem i srednjem menadžmentu, nakon čega slijedi kratak opis postupaka revizije, te popis nalaza i preporuka, sa naznakom njihovog prioriteta. U sažetku treba navesti i ocjenu revidiranog područja (ili sistema u cjelosti, ako je on bio predmet revizije), koja na nedvosmislen način prikazuje postignuti kvalitet revidiranog područja. Na kraju, gotov revizorski izvještaj je poželjno prezentirati, prije distribucije primaocima. Revizorska dokumentacija

Revizorska dokumentacija predstavlja neophodne dokaze koji podupiru nalaze do kojih se došlo revizijom i stoga treba biti jasna, kompletna, dostupna i dovoljno razumljiva. Format i medij na kojem se čuva dokumentacija je opcionalan, ali dužna pažnja i najbolje prakse zahtijevaju da radni papiri budu: datirani, sa inicijalima, sa brojevima stranica, relevantni, kompletni, jasni, na odgovarajući način označeni i adekvatno čuvani, kao povjerljiva dokumentacija. Vrste revizija

Finansijska revizija Svrha ove revizije je ocjena ispravnosti finansijskih izvještaja. Povezuje se sa integritetom i pouzdanosti finansijskih informacija.

10/39


Operativna revizija Svrha ove revizije je ocjena strukture internih kontrola u datom procesu ili području. Revizija aplikativnih kontrola i logički sigurnosni sistemi su primjeri operativnih revizija. Integralna revizije Ove vrste revizija kombinuju finansijske i operativne revizije. Integralna revizija se provodi i da bi se ocijenili ciljevi organizacije vezano za finansijske informacije i čuvanje imovine, efikasnost i usklađenost. Administrativne revizije Ova vrsta revizija je orijentisana da ocijeni pitanja koja se odnose na efikasnost produktivnosti u organizaciji.

operativne

IS revizija Ova revizija sakuplja i ocjenjuje dokaze kako bi se utvrdilo da li informacioni sistem i povezani resursi adekvatno čuvaju imovinu, održavaju integritet i raspoloživost podataka i sistema, obezbjeđuju relevantne i pouzdane informacije, postižu organizacijske ciljeve efektivno, koriste resurse efikasno i imaju interne kontrole koje daju razumno uvjerenje da će poslovni, organizacijski i kontrolni ciljevi biti postignuti i da će neželjeni događaji biti spriječeni, otkriveni i/ili ispravljeni. Specijalizovana revizija Unutar kategorije IS revizija, moguć je veći broj specijalizovanih pregleda kojima se ispituju servisi koje isporučuju treće strane. Budući da poslovanje često u velikoj mjeri ovisi o uslugama eksternih pružaoca usluga, potreba za ovom vrstom revizije je sve češća. Forenzička revizija Ova vrsta revizije je specijalizovana u otkrivanju, objaljivanju i praćenju prevara i kriminalnih radnji. Primarna svrha ovih pregleda je prikupljanje dokaza za eventualne sudske postupke. Revizijski rizici

Revizijski rizik se može definisati kao rizik da prikupljene informacije (dokazni materijal) mogu sadržavati materijalnu grešku koja za vrijeme provođenja revizije može ostati neotkrivena. Revizijski rizik se može podijeliti na: Inherenetni (sadržani) rizik Rizik da postoji greška koja može biti materijalna u kombinaciji sa drugim greškama, podrazumijevajući da nema povezanih kompenzacijskih kontrola Kontrolni rizik Rizik da postoji materijalna greška koja neće biti pravovremeno spriječena ili otkrivena sistemom internih kontrola Rizik otkrivanja Rizik da revizor, koristeći neadekvatne testne procedure, zaključi da materijalna greška ne postoji, iako je ona prisutna. •

•

•

Ukupan revizijski rizik se može prikazati kao proizvod ova tri tipa rizika: IR x CR x DR.

11/39


Prilikom svake revizije treba definisati nivo prihvatljivog (maksimalno dopuštenog) rizika – DAR ( Desired Audit Risk ). Revizor informacionog sistema treba dobro razumjeti revizijske rizike prilikom planiranja i provođenja revizije. Jedan uzorak možda neće detektovati potencijalnu grešku. Međutim, korištenjem prikladne metode za prikupljanje uzoraka ili dobrim procesom kontrole kvaliteta, vjerovatnoća rizika otkrivanja može biti smanjenja na prihvatljiv nivo. Za vrijeme provođenja revizije, revizori trebaju biti fleksibilni i prilagođavati se situaciji, te kontinuirano usklađivati tok i postupke revizije

12/39


Korporativno upravljanje informatikom – IT Governance Korporativno upravljanje i upravljanje informatikom su sastavni dio korporativnog upravljanja organizacijom i sastoje se od upravljačkih i organizacionih struktura i procesa kojima se osigurava da IT organizacije podržava ciljeve strategije te organizacije. Poznavanje principa korporativnog upravljanja informatikom je fundamentalno za rad revizora IS i predstavlja osnov za razvoj jakih kontrolnih principa i mehanizama za upravljački nadzor nad radom informatike. Zadaci unutar domena korporativnog upravljanja informatikom: 1. Procijeniti efektivnost strukture korporativnog upravljanja informatikom kako bi se utvrdilo da li IT odluke, pravci djelovanja i perfomanse podržavaju strategiju i ciljeve organizacije. 2. Procijeniti organizacijsku strukturu upravljanja informatikom i upravljanje ljudskim resursima kako bi se utvrdilo da li podržavaju strategiju i ciljeve organizacije. 3. Procijeniti IT strategiju, uključujući pravac razvoja informatike, kao i procese za njihov razvoj, odobrenje, implementaciju i održavanje i utvrditi njihovu usklađenost sa strategijom i ciljevima organizacije. 4. Procijeniti politike, standarde i procedure koji se odnose na IT, kao i procese njihovog razvoja, odobravanja, implementacije, održavanja i praćenja i utvrditi da li podržavaju IT stra tegiju i da li su usklađeni sa postojećim zakonskim okvirima. 5. Procijeniti adekvatnost sistema upravljanja kvalitetom i utvrditi da li podržava strategiju i ciljeve organizacije na isplativ način. 6. Procijeniti upravljanje informacionim sistemom i nadzor nad internim kontrolama i utvrditi usklađenost sa politikama, standardima i procedurama organizacije. 7. Procijeniti prakse investiranja u IT resurse, njihovog korištenja i alokacije i utvrditi njihovu usklađenost sa strategijom i ciljevima organizacije. 8. Procijeniti strategije ugovoranja IT usluga i proizvoda i utvrditi njihovu usklađenost sa strategijom i ciljevima organizacije. 9. Procijeniti prakse upravljanja rizicima i utvrditi da li se sa IT rizicima upravlja na adekvatan način. 10. Procijeniti prakse nadzora i kontrole i utvrditi da li najviše upravljačke strukture dobivaju dostatne i pravovremene informacije o IT perfomansama. 11. Procijeniti plan kontinuiteta poslovanja organizacije i utvrditi sposobnost organizacije da osigura kontinuitet provođenja ključnih poslovnih operacija za vrijeme prekida u radu IT servisa.

Šta je korporativno upravljanje informatikom ? „Korporativno upravljanje predstavlja institucionalni okvir kojim se određuju ciljevi poslovanja, način njihovog ostvarivanja, te metrike kojom se prate perfomanse i uspješnost poslovanja“4. Cilj korporativnog upravljanja je da razriješi konfliktne ciljeve eksploatisanja postojećih poslovnih prilika koje se poduzima radi povećanja vrijednosti i ostvarivanja dobiti i održavanja stabilnosti operacija organizacije unutar postavljenih regulatornih okvira i socijalnih obaveza. Jedan od glavnih elemenata korporativnog upravljanja je adekvatno upravljanje rizicima, putem sistema internih kontrola.

4

Panian, Ž., Spremić, M.: Korporativno upravljanje i revizija informaci jskih sustava

13/39


Shodno gornjoj definiciji, korporativno upravljanje informatikom predstavlja korporativne strukture i procese kojim se upravljanje informacionim sistemima usmjerava ka izvršenju korporativnih ciljeva i podršci korporativne strategije. To se postiže zadavanjem ciljeva izvedenih iz poslovnih ciljeva, te praćenjem uspješnosti i perfomansi na osnovu prethodno definisane metrike. Usklađenost između poslovnih ciljeva i IT ciljeva je kritični faktor uspješnosti. Korporativno upravljanje informatikom pomaže postizanju ovog kritičnog faktora ekonomičnom i efikasnom implementacijom sigurnog i pouzdanog informacionog sistema. Informacioni sistem ima takvu ulogu u organizaciji da se upravljanje njime ne može prepustiti samo IT menadžmentu ili IT specijalistima, već zahtijeva aktivni angažman korporativnih struktura upravljanja.

Prakse praćenja i nadzora nad informacionim sistemom Tradicionalni pristup izvršnog menadžmenta organizacije prema IT pitanjima je prebacivanje svih ključnih odluka na IT profesionalce unutar kompanije. Korporativno upravljanje informatikom implicira sistem u kojem sve zainteresovane strane, uključujući izvršni menadžment i interne klijente (odjele), učestvuju u procesu odlučivanja. Problem korporativnog upravljanja informatikom je u tome što se često mi jenja sa dobrim praksama upravljanja i IT kontrolnim okvirima. Međutim, korporativno upravljanje informatikom je odgovornost uprava i izvršnog menadžmenta organizacija. Dijeljenje odgovornosti sprečava IT odjel u neovisnom donošenju odluka i kasnije u smatranju jedinim odgovornim za eventualne loše odluke. Dijeljenje odgovornosti također sprečava ključne korisnike sistema u naknadnim žalbama da sistem ne radi u skladu sa očekivanjima. Uprava i ključni korisnici moraju biti upoznati s kakvim informacijskim resursima raspolažu, u kolikoj mjeri je poslovanje organizacije zavisno od informacionog sistema, te kakvim je rizicima izložen informacioni sistem. Teme koje izvršni menadžment treba da obradi u procesu uspostavljanja i održavanja korporativnog upravljanja informatikom su: strateško usklađivanje, isporuka vrijednosti, upravljanje resursima, upravljanje rizicima i mjerenje perfomansi. Najpoznatiji okviri za korporativno upravljanje informatikom su: - COBIT – izdat od strane IT Governance Institute (ITGI), odnosno Information System Audit and Control Association (ISACA), krovnog svjetskog udruženja za kontrolu i reviziju informacionih sistema, - ISO/IEC 27001 – izdat od Međunarodne organizacije za standardizaciju (ISO) i Međunarodnog elektrotehničkog povjerenstva (IEC), - ITIL (IT Infrastructure Library ) – izdat od Office of Government Commerce (OGC), ispred vlade Ujedinjenog Kraljevstva, - IT Baseline Protection Catalogs, ili IT Grundschutz Catalogs – izdati od German Federal Office for Security in Information Technology (FSI). Revizija igra značajnu ulogu u uspješnoj implementaciji korporativnog upravljanja informatikom unutar organizacije. Revizija je dobro pozicionirana da obezbijedi praktične preporuke višem menadžmentu u cilju podizanja kvaliteta i efektivnosti implementiranih inicijativa korporativnog upravljanja. Kao funkcija koja nadzire usklađenost, revizija pomaže postizanju usklađenosti. Kontinuirani nadzor, analiza i ocjena metrika povezanih sa inicijativama korporativnog upravljanja zahtijevaju neovisan i izbalansiran pogled

14/39


da bi se osigurala kvalitativna procjena koja može proizvesti kvalitativno unapređenje IT procesa i povezanih inicijativa korporativnog upravljanja. U skladu sa definisanom ulogom IT revizora, sljedeći aspekti koji se odnose na korporativno upravljanje informatikom trebaju biti obrađeni: - Usklađenost IS funkcije sa misijom, vizijom, vrijednostima i ciljevima organizacije - Postizanje ciljeva izvedbe uspostavljenih s poslovne strane (efikasnost i efektivnost) IT Strategy komitet i IT Steering komitet (Odbori za upravljanje informacionim sistemom)

Formiranje Odbora za upravljanje informacionim sistemom je najbolja praksa industrije. Osim IT strategije, opseg djelovanja Odbora treba da uključi analizu IT vrijednosti, rizika i perfomansi. Kao tijelo imenovano od strane uprave, Odbor treba da pomogne upravi u razmatranju svih pitanja koja se odnose na upravljanje informatikom, osigurava jući sve potrebne informacije za efektivno korporativno odlučivanje o ovom pitanju. Tradicionalno, pored strategy komiteta, veće kompanije su i ranije organizovale tzv. steering komitete, koji su za razliku od strategy komiteta više fokusirani na implementaciju strategije i praćenju IT operacija i projekata na dnevnom nivou. Za manje i srednje organizacije odvajanje ova dva tijela često nema smisla, pa je zato ovdje upotrijebljen sveobuhvatni naziv Odbor za upravljanje informacionim sistemom. U donjoj tabeli je dat pregled odgovornosti IT Strategy i IT Steering komiteta. IT Strategy komitet

Odgovornost

Autoritet

Obezbjeđuje uvid i savjet upravi po pitanjima kao što su: - Relevantnost razvoja u IT, iz poslovne perspektive - Usklađenost IT sa poslovnim pravcima - Postizanje strateških IT ciljeva - Raspoloživost prikladnih IT resursa, vještina i infrastrukture za postizanje strateških ciljeva - Optimizacija IT troškova, uključujući uloge i isporuku vrijednosti od strane eksternih pružalaca usluga - Rizici, povrati i kompetitivni aspekti IT investicija - Napredak u ključnim IT projektima - Doprinos IT poslovanju (isporuka očekivanih poslovnih vrijednosti) - Izloženost IT rizicima, uključujući i rizik usklađenosti - Tretman IT rizika - Pravac menadžmenta u odnosu na IT strategiju

IT Steering komitet •

• •

• •

•

•

•

•

Odlučuje o okvirnom nivou IT troškova i načinu njihove alokacije Usklađuje i odobrava IT arhitekturu organizacije Odobrava projektne planove i budžete, postavlja prioritete i kontrolne tačke Pribavlja i dodjeljuje potrebne resurse Osigurava da projekti budu u skladu sa poslovnim zahtjevima Nadzire tok projekata i isporuku oč ekivanih vrijednosti, na vrijeme i u planiranom budžetu Nadzire resurse i rješava eventualne konflikte u alokaciji resursa Preporučuje i zahtijeva promjene u planovima (prioriteti, finansiranje, tehnološki pristup, resursi) Komunicira strateške ciljeve projektnim timovima

Pomaže izvršnom menadžmentu u implementaciji IT Savjetuje upravu i menadžment vezano za IT strategiju strategije Delegiran je od strane uprave da pripremi IT strategiju Nadzire upravljanje i isporuku IT servisa i projekata na za odobrenje dnevnom nivou Fokusira se na trenutna i buduća IT strateška pitanja Fokusira se na implementaciju

Odbor treba biti sastavljen od predstavnika višeg menadžmenta i uprave, srednjeg menadžmenta i IT funkcije. Zadaće i odgovornosti Odbora trebaju biti definisane u formalnom poslovniku. Svaki član Odbora treba imati autoritet da odlučuje.

15/39


IT Balanced Scorecard

IT Balanced Scorecard (BSC) je evaluacijska tehnika procesa upravljanja koja može biti primjenjena na korporativno upravljanje informatikom u procjeni upravljanja IT procesima i funkcijama. Godine 1997., Van Grembergen i Van Bruggen prilagodili su tradicionalni BSC (Kaplan and Norton) za korištenje u korporativnom upravljanju informacijskim tehnologijama. Tehnika ide dalje od tradicionalnih finansijskih procjena, dopunjavajući ih sa mjerama koje se tiču zadovoljstva korisnika, internih procesa i sposobnosti inovacija. Za primjenu IT BSC, koristi se troslojni pristup za obradu četiri pogleda: Misija, na primjer o Postati preferirani dobavljač informacionih sistema o Isporučivati ekonomične, efektivne i efikasne IT servise o Razvijati prilike za odgovor na buduće izazove Strategija, na primjer Razvijati superiorne aplikacije i operacije o Razvijati partnerski odnos sa korisnicima o Obezbjeđivati unaprijeđene servisne nivoe i cjenovne strukture o Mjerenje, na primjer o Obezbijediti izbalansirani skup metrika (KPI) koji će voditi poslovno orijentisane IT odluke. •

•

•

Korištenje IT Balanced Scorecard (BSC) je jedan od najefikasnijih načina pomoći Odboru za upravljanje informacionim sistemom i upravi u postizanju ciljeva korporativnog upravljanja informatikom kroz prikladno usklađivanje IT i poslovanja. Upravljanje informacijskom sigurnošću

Unutar okvira korporativnog upravljanja informatikom, upravljanje informacijskom sigurnošću treba postati fokusirana aktivnost sa specifičnim ciljevima: povjerljivost, integritet i raspoloživost informacija, kontinuitet servisa i zaštita informacijske imovine. Pitanje sigurnosti je postalo značajno upravljačko pitanje kao rezultat globalnog umrežavanja, rapidnih tehnoloških inovacija i promjena, povećane ovisnosti o IT, povećane sof isticiranosti prijetnji i širenja kompanija izvan njihovih tradicionalnih granica. Zanemarivanje ovog aspekta upravljanja će umanjiti kapacitet organizacije da umanji rizike i iskoristi prilike za unapređenje poslovnih procesa korištenjem IT mogućnosti. Da bi se postigli ciljevi adekvatne zaštite informacijskih resursa, nadzor nad informacijskom sigurnošću mora biti podignut na najviši nivo upravljanja. Kompleksnost, relevantnost i kritičnost informacijske sigurnosti i upravljanja njome trebaju biti adresirani i podržani na najvišem nivou. Informacije, kao kritični resursi, moraju biti tretirane sa istom pažnjom, oprezom i obazrivosti kao i sva ostala imovina,

16/39


ključna za uspjeh organizacije. Informacijska sigurnost tretira zaštitu informacijskih resursa kao zaštitu sadržaja, informacija i znanja temeljenog na njima, neovisno od toga kako se informacijama rukuje, kako se procesiraju, prenose i odlažu. Zaštita treba da uključuje ne samo procese kojima se informacije proizvode, već i kontinuirano čuvanje informacija, kroz čitav njihov životni vijek. Upravljanje informacijskom sigurnošću je odgovornost uprave i izvršnog menadžmenta i mora biti sastavni dio korporativnog upravljanja. Upravljanje informacijskom sigurnošću sastavljeno je od vođstva, organizacijskih struktura i procesa za zaštitu informacija. Da bi postigli efektivno upravljanje informacijskom sigurnošću, menadžment mora uspostaviti i održavati sveobuhvatni okvir koji će voditi razvoj i upravljanje odgovarajućeg programa koji podržava poslovne ciljeve. Okvir se općenito sastoji od: - Sveobuhvatne sigurnosne strategije čvrsto povezane sa poslovnim ciljevima, - Sigurnosnih politika koje obrađuju svaki aspekt strategije, kontrola i regulacije, - Skupa standarda za svaku politiku koji osiguravaju da procedure i smjernice budu usklađene sa politikama, - Efektivna organizacijska struktura sigurnosti, bez konflikta interesa, - Institucionaliziranog procesa nadzora kako bi se osigurala usklađenost i povratne informacije o efektivnosti. Uprava organizacije Efektivno upravljanje informacijskom sigurnošću može biti postignuto samo uključivanjem uprave i višeg menadžmenta u odobravanje politika, praćenje prikladnog monitoringa i metrike, kao i izvještavanje i analize trendova. Nije realno očekivati da će osoblje na nižim pozicijama poštovati sigurnosne mjere ukoliko ih najviši menadžment ne poštuje. Članovi uprave trebaju biti svjesni informacijske imovine organizacije i njene kritičnosti za tekuće poslovne operacije. Ovo se može postići povremenim prezentiranjem upravi rezultata procjene rizika i analize uticaja na poslovanje (BIA – Business Impact Analysis), kao i procjene ovisnosti poslovanja od informacijskih resursa. Zadaci uprave su: da zahtijeva postizanje usklađenosti između poslovnih i sigurnosnih ciljeva, da postavlja prihvatljivi nivo rizika, da nadgleda upravljanje rizikom, da osigura zakonsku usklađenost, da zahtijeva izvještavanje o troškovima vezanim za informacijsku sigurnost. Komitet za sigurnost Kako bi osigurali uključenost svih zainteresovanih strana (na koje utiču sigurnosna razmatranja), mnoge organizacije formiraju komitete za sigurnost, koji su sastavljeni od viših predstavnika afektiranih grupa. Ovime se osigurava postizanje konsenzusa vezano za prioritete pojedinih aktivnosti i dobiva se efektivan komunikacijski kanal. Može poslužiti i kao instrument za postizanje promjena ponašanja spram informacijske sigurnosti u pozitivnom smislu. Chief Information Security Officer (CISO) Svaka organizacija ima CISO, bez obzira da li zvanično nosi tu titulu ili ne. Opseg i dubina područja informacijske sigurnosti su takvi da će potrebni autoritet i preuzeta odgovornost zahtijevati da to bude nivo višeg menadžmenta. Zakonska odgovornost će i dalje biti na upravi. Ukoliko se ovo ne prepozna i ne implementiraju prikladne upravljačke strukture, uprava neće biti svjesna svojih odgovornosti i obaveza u vezi sa njom. Zadaci CISO su: razvoj sigurnosne strategije, praćenje sigurnosnog programa i inicijativa, provođenje procjene rizika i analize uticaja na poslovanje, razvoj strategija za umanjenje rizika, osiguranje usklađenosti sa internim politikama i zakonskim odredbama, nadzor nad korištenjem i efektivnosti sigurnosnih resursa, te razvoj i implementacija metrika i procedura praćenja sigurnosnih parametara.

17/39


Enterprise Architecture (EA)

EA je „strateški informacijski temelj“ koji definiše misiju kompanije i opisuje tehnologije i informacije potrebne da se ostvari ta misija, zajedno sa opisima kako arhitektura treba biti izmjenjena da bi se odgovorilo na eventualnu promjenu misije. U suštini, EA nije ništa drugo nego dokumentovanje informacijske imovine organizacije na struktuiran način, u cilju razumijevanja, upravljanja i planiranja ulaganjima u IT, te unapređenja i razvoja samih poslovnih procesa. EA najčešće sadrži reprezentaciju trenutnog stanja i optimiziranog budućeg stanja. EA uključuje kompletan socio-tehnološki sistem, uključujući: ljude, informacije, tehnologiju i poslovne procese. „The Framework for Enterprise Architecture“ (John Zachman) iz 80-tih godina, je bio prvi rad u kojem je spomenuta EA, na kojem se i danas zasniva većina EA projekata. Jedna od osnovnih postavki ovog rada je da „građenje“ informacionog sistema ima velike sličnosti sa građenjem zgrade. U oba slučaja postoji veliki broj učesnika koji se pojavljuju u određenim fazama gradnje, u oba slučaja se polazi od abstraktnog modela da bi se došlo do konkretnog proizvoda. Jedan od najpoznatijih razvijenih EA je onaj koji je razvila US federalna vlada (FEA – Federal Enterprise Architecture). Sastoji se od 5 modela: - Referentni model perfomansi – okvir za mjerenje perfomansi velikih IT investicija i njihovog doprinosa perfomansama programa - Referentni poslovni model – funkcijski vođen okvir koji opisuje poslovne funkcije, neovisno o načinu njihovog provođenja - Servisni referentni model – funkcionalni okvir koji klasifikuje servisne komponente koje podržavaju poslovne ciljeve i ciljeve perfomansi - Tehnički referentni model – okvir koji opisuje kako tehnologija podržava isporuku, razmjenu i konstruisanje servisnih komponenti - Podatkovni referentni model – opisuje podatke i informacije ko je podržavaju program i poslovne operacije. Trenutno najpoznatiji okvir za razvoj EA je TOGAF ( The Open Group Architecture Framework ) čiji je fokus na razvoju „vizije arhitekture“, odnosno opisa poslovanja koje reprezentuje „cilj“, ili „buduće stanje“. Kada se „buduće stanje“ dobro razumije i opiše, definiše se skup koraka koji ilustruju proces transformacije iz postojećeg u ciljano stanje. Ovi međukoraci nazivaju se „tranzicijska arhitektura“.

Strategija informacionog sistema Strateško planiranje informacionog sistema je sastavni dio strateškog planiranja poslovanja organizacije i povezuje se sa dugoročnim pravcem koji organizacija želi da zauzme u oslanjanju na informacione tehnologije da bi unaprijedila svoje poslovne procese. Iz strategije poslovanja određuje se strategija informacionog sistema, njegova uloga, ciljevi u podršci poslovanju i njegova arhitektura. Strategija informacionog sistema se onda dalje razlaže na strategije njegovih sastavnih dijelova. Strateško planiranje je dinamički proces koji uključuje konstantno preispitivanje postojećeg sistema i poslovnog okruženja, odnosno poslovnih zahtjeva, definisanje ciljeva koje informacioni sistem treba da postigne u budućnosti, te na osnovu toga, definisanje njegove arhitekture i plana razvoja. 18/39


5

Strategija poslovanja

Strategija informacionog sistema

Tehnologija

Ljudi

Procesi

U svrhu pomoći kod strateškog planiranja preporučljivo je koristiti neku od brojnih metoda strateške analize, od kojih su najpoznatije: - Porterovih 5 snaga konkurentske prednosti - PEST analiza - Analiza lanca i mreže vrijednosti - SWOT analiza - Balanced Scorecard, itd.

Metrike

Poslovna vrijednost informacionog sistema

U proces strateškog planiranja treba biti uključen najviši menadžment organizacije, voditelj organizacione jedinice za upravljanje informacionim sistemom i voditelji ostalih poslovnih funkcija koje u značajnoj mjeri zavise od informacionog sistema. U skladu sa prethodno rečenim, strateškim planiranjem se najviše bavi Odbor za upravljanje informacionim sistemom (IT strategy komitet). Strateški planovi se obično prave za period 3-5 godina i razrađuju se kroz operativne planove koji su najčešće na godišnjem nivou. Povremeno je potrebno revidirati i strateške i operativne planove, ovisno od potreba organizacije ili u slučaju nastanka promjena koje značajno mogu uticati na ostvarenje prethodno postavljenih ciljeva. Revizor IS treba posvetiti punu pažnju važnosti IT strateškog planiranja, uzimajući u obzir upravljačke kontrolne prakse. Posebna pažnja se treba posvetiti procjeni na koji način su poslovni planovi uzeti u obzir prilikom definisanje IT strategije, sadržaja strateških planova, zahtjeva za revizijom i komunikacijom i zahtjeva za praćenjem i evaluacijom. Također, treba razmotriti ko je sve uključen u strateško IT planiranje, tj. da li su svi relevantni učesnici uključeni.

IT investicije i raspodjela resursa Svaka kompanije susreće se sa izazovima ograničenih resursa, uključujući ljude i novac. Kada organizacija investira svoje resurse u neki poduhvat, nastaju oportunitetni troškovi, jer organizacija ne može investirati istovremeno u neke druge prilike, koje potencijalno mogu donijeti dobit organizaciji. Prema ISACA publikaciji The Val IT Framework 2.0, 20%-70% velikih IT investicija su propale ili nisu uspjele donijeti nikakvu dobit organizaciji. Pored finansijske koristi, treba uvijek imati na umu i nefinansijske koristi koje uključuju: unapređenje zadovoljstva korisnika, kraći poslovni ciklus, itd. Revizor IS treba biti upoznat sa praksama investiranja i raspodjele resursa u organizaciji, kako bi ocijenio da li je organizacija pozicionirana da postigne veću vrijednost investiranjem svojih resursa.

5

Panian, Ž., Spremić, M.: Korporativno upravljanje i revizija informacijskih sustava

19/39


Odluke o IT projektima se donose na temelju percipirane vrijednosti investicije. Vrijednost je određena odnosom onoga što će organizacija platiti (troškovi) i onoga što će dobiti (korist). Što je veći odnos koristi u odnosu na troškove, veća je vrijednost IT projekta.

Politike i procedure Politike

Politike i procedure reflektuju vođstvo i postavljene ciljeve menadžmenta u razvoju kontrola nad informacionim sistemom, povezanim resursima i procesima. Politike su dokumenti na visokom nivou koji reprezentuju korporativnu filozofiju organizacije i strateško razmišljanje visokog menadžmenta i vlasnika poslovnih procesa. Da bi bile učinkovite, politike moraju biti jasne i precizne. Menadžment mora kreirati pozitivno kontrolno okruženje postavljajući odgovornost za formulisanje, razvoj, dokumentovanje i kontrolu politika koje pokrivaju općenite ciljeve i direktive. Menadžment treba poduzeti neophodne korake kako bi osigurao da uposlenici na koje se odnosi specifična politika dobiju sve potrebne informacije i objašnjenja vezano za predmetnu politiku, te da razumiju njenu namjenu. Dodatno, politike mogu biti namjenjene trećim stranama, eksternim saradnicima organizacije, koji moraju slijediti politiku organizacije (npr. ugovorna obaveza). Sve politike se trebaju periodično pregledati. Idealno, ovi dokumenti trebaju imati specificiran datum pregleda, koji revizor IS treba provjeriti. Politike trebaju biti ažurirane kako bi se uzele u obzir promjene u tehnologijama, okruženju (npr. regulatorne promjene) i značajne promjene u poslovnim procesima. Važeće politike moraju podržavati postizanje poslovnih ciljeva i implementaciju IS kontrola. Kod kreiranja politika treba uzeti u obzir povjerljivost i informacijsku sigurnost. Revizori IS trebaju testirati usklađenost politika. IS kontrole bi trebale proizilaziti iz politika organizacije i revizori IS trebaju koristiti politike kao mjerilo za ocjenu usklađenosti. Ipak, ako postoje politike koje sprečavaju ostvarenje poslovnih ciljeva, one moraju biti identificirane i planirane za unapređenje. Revizor IS treba također razmotriti u kolikoj mjeri su politike primjenjive na eksterne saradnike, te u kolikoj mjeri eksterni saradnici poštuju politike organizacije. Kod pregleda politika IS, revizor IS treba procijeniti sljedeće: - Temelje na kojima je politika zasnovana (da li je zasnovana na procjeni rizika), - Prikladnost politika - Sadržaj politika - Izuzetke – treba biti jasno navedeno u kojim dijelovima se politika ne primjenjuje i zašto (na primjer, politika upravljanja lozinkama se možda ne može provesti u nekim starijim sistemima) - Proces odobrenja politike - Proces implementacije politike - Svijest i obuka - Periodični pregled i proces ažuriranja.

20/39


Politika informacijske sigurnosti

Politika informacijske sigurnosti je prvi korak u gradnji sigurnosne infrastrukture. Politike često postavljaju početne uslove u pogledu alata i procedura koje će biti potrebne u organizaciji. Politike sigurnosti moraju balansirati nivo kontrole koja se želi uspostaviti sa nivoom produktivnosti. Također, troškovi kontrole ne smiju preći očekivanu korist. Kod dizajniranja i implementacije ovih politika organizaciona kultura će igrati važnu ulogu. Politika sigurnosti treba biti odobrena od najvišeg nivoa menadžmenta i treba biti dokumentovana i komunicirana svim uposlenicima i eksternim saradnicima (ako je potrebno), na način koji je za njih razumljiv. Ukoliko je politika sigurnosti namijenjena i eksternim saradnicima, treba obratiti pažnju da se u dokumentu ne otkriju osjetljive informacije. Adekvatnost i prikladnost politike informacijske sigurnosti, te upravljanje sa njom su predmet revizije IS. Dokument treba sadržavati izjavu predanosti rukovodstva osiguranju informacijske sigurnosti i definisati pristup organizacije upravljanju informacijskom sigurnošću. Politika informacijske sigurnosti vodi cijelu organizaciju definišući šta treba biti zaštićeno, odgovornosti za zaštitu i strategiju zaštite. ISO 27002 standard može se koristiti kao referenca za sadržaj politike informacijske sigurnosti. Ovisno o potrebama i prikladnosti, organizacija može dokumentovati politike informacijske sigurnosti kroz nekoliko dokumenata. Generalno, sljedeće grupe politika treba minimalno obraditi: - Politika informacijske sigurnosti na visokom nivou – treba uključivati izjave o povjerljivosti, integritetu i raspoloživosti, - Politika klasifikacije informacija – treba opisati klasifikaciju, nivo kontrole za svaku klasu i odgovornosti za sve potencijalne korisnike uključujući i vlasništvo, - Politika prihvatljivog korištenja – mora postojati sveobuhvatna politika koja uključuje informacije o svim informacijskim resursima i opisuje dozvoljeni način njihovog korištenja, - Politika kontrole pristupa – ova politika opisuje metode za definisanje i dodjeljivanje pristupa korisnicima za različite IT resurse. Politika informacijske sigurnosti treba biti redovno pregledana i ažurirana, kako bi se osigurala njena kontinuirana prikladnost, adekvatnost i efektivnost. Politika informacijske sigurnosti treba imati vlasnika kojemu je menadžment dodijelio odgovornost za njen razvoj, pregled i pro cjenu. Politika prihvatljivog korištenja

Neprikladno korištenje IT resursa od strane korisnika izlaže organizaciju različitim rizicima, uključujući virusne napade, kompromitaciju računarske mreže, pravne sporove, itd. Politika prihvatljivog korištenja resursa informacionog sistema je skup pravila koje organizacija postavlja u cilju kontrole korištenja ovih resursa. Politika treba da objasni šta organizacija smatra prihvatljivim korištenjem, u cilju zaštite i uposlenika i organizacije. Politika treba da bude koncizna i jasna, istovremeno pokrivajući najvažnija pitanja kao što su ko se smatra korisnikom i šta je korisniku dozvoljeno da radi sa resursima IS. Tamo gdje je relevantno, dokument se treba referencirati na druge politike. Politika prihvatljivog korištenja resursa informacionog sistema treba precizno definisati i sankcije koje će se primjeniti u slučaju njenog nepoštivanja.

21/39


Procedure

Procedure sadrže detaljne opise koraka definisanih i dokumentovanih s ciljem provođenja politika . Moraju biti izvedene iz politika i moraju biti implementirane u duhu (namjeri) politike. Procedure moraju biti napisane na jasan i precizan način, tako da mogu biti lako razumljive od onih kojima su namijenjene. Procedure dokumentuju poslovne procese (administrativne i operativne) i povezane kontrole. Generalno, procedure su više dinamične od politika. Revizor IS analizira procedure kako bi identifikovao/ocijenio kontrole i zatim ih testirao. Kontrole ugrađene u procedure se ocjenjuju kako bi se utvrdilo da li ispunjavaju postavljene kontrolne ciljeve, održavajući istovremeno proces efikasnim i praktičnim u najvećoj mogućoj mjeri. Gdje operativne prakse nisu usklađene sa dokumentovanim procedurama, ili gdje dokumentovane procedure ne postoje, teško je utvrditi implementirane kontrole i biti siguran da su kontinuirano operativne. Jedan od najkritičnijih aspekata koji se odnose na procedure je da one trebaju biti dobro poznate ljudima koji rade u područjima koje one pokrivaju. Procedura koja nije poznata ljudima koji je trebaju koristiti nije efektivna. Stoga, posebnu pažnju treba posvetiti distribuciji ovih dokumenata.

22/39


Akvizicija, razvoj i implementacija informacionih sistema Cilj ovog domena je da prezentira ključne procese i metodologije koje organizacije koriste prilikom kreiranja i promjena u aplikativnim sistemima i infrastrukturnim komponentama. Zadaci unutar domena akvizicije, razvoja i implementacije informacionih sistema su: 1. Analizirati poslovni slučaj za predloženu investiciju akvizicije, razvoja, održavanja informacionog sistema i utvrditi da li je u skladu sa ciljevima poslovanja. 2. Ocijeniti prakse upravljanja projektima i povezane kontrole u cilju utvrđivanja da li se poslovni zahtjevi postižu na isplativ način, istovremeno upravljajući rizicima. 3. Utvrditi da li se projekat odvija u skladu sa planom, da li je adekvatno podržan dokumentacijom i da li je izvještaj o statusu tačan. 4. Procijeniti usklađenost kontrola informacionog sistema u fazama kreiranja zahtjeva, akvizicije, razvoja i testiranja, sa politikama i standardima organizacije i primjenjivim regulatornim zahtjevima. 5. Procijeniti spremnost informacionog sistema za implementaciju i migraciju u produkciono okružen je, tj. utvrditi da li su projektne isporuke spremne i da li su zahtjevi organizacije ispunjeni. 6. Provesti postimplementacijski pregled sistema u cilju utvrđivanja da li su planirane isporuke izvršene i da li su zahtjevi organizacije ispunjeni.

Upravljanje portfoliom / programom Projektni portfolio je skup svih projekata koji se trenutno izvode u organizaciji. Ciljevi upravljanja portfoliom su: optimizacija rezultata projektnog portfolia, prioritizacija i planiranje projekata, koordinacija resursa (internih i eksternih), prenos znanja kroz projekte. Obavezno je održavati bazu svih projekata koja uključuje minimalno sljedeće podatke: vlasnike projekata, planove, ciljeve, statuse, troškove, itd. Program je skup projekata i aktivnosti koji su međusobno usko povezani kroz zajedničke ciljeve, zajednički budžet i isprepleten vremenski raspored i strategiju. Kao i projekti, i programi imaju ograničeno trajanje (određeni početak i kraj) i organizacijske okvire. Programi su kompleksniji, obično duže traju, imaju veći budžet, veće povezane rizike i većeg su strateškog značaja. Tipičan primjer je implementacija ERP sistema velikih razmjera (u velikim organizacijama), koja uključuje projekte koji obrađuju tehnološku infrastrukturu, operacije, reorganizaciju, reinžinjering i optimizaciju poslovnih procesa, edukaciju i razvoj. Metodologije, uloge i procesi koji se koriste u upravljanju programima su vrlo slični onima koji se koriste u upravljanju projektima. Ured za upravljanje projektima ( Project Management Office - PMO), kao vlasnik procesa upravljanja projektima i programima, mora biti stalna organizacijska struktura, adekvatno popunjena ljudskim resursima, kako bi bila u stanju podržati postojeće i razviti nove procedure i standarde u ovoj oblasti. Cilj PMO je da unaprijedi kvalitet upravljanja programima i projektima i osigura uspjeh projekta, ali se smije fokusirati samo na upravljanje projektima, a nikako na sadržaj projekata.

23/39


Poslovni slučaj – razvoj i odobravanje Važan faktor u svakom IT projektu, bez obzira da li se radi o razvoju novog sistema ili investiciji u infrastrukturu, jeste poslovni slučaj. Postizanje koristi za poslovanje treba biti ono što inicira projekte. Poslovni slučaj obezbjeđuje informacije koje su organizaciji potrebne da odluči da li da nastavi sa projektom. Inicijalni poslovni slučaj se izvodi iz studije izvodljivosti koja se provodi u fazi inicijalizacije / planiranja. Ovo je rana studija koja se provodi da bi se utvrdilo da li je problem rješiv na prihvatljiv način. Studija izvodl jivosti će definisati problem, identifikovati i istražiti nekoliko mogućih rješenja i dati preporuke koje aktivnosti treba poduzeti. Poslovni slučaj se definiše i računa za svako alternativno rješenje u studiji izvodljivosti, kako bi se napravilo adekvatno poređenje i odabralo najprihvatljivije rješenje. Poslovni slučaj je ključni element procesa odlučivanja tokom cijelog životnog ciklusa projekta. Ako se u bilo kojem stadiju projekta ispostavi da poslovni slučaj više nije validan (povećani troškovi, ili smanjenja očekivana korist), sponzor projekta ili steering komitet projekta trebaju razmotriti da li projekat treba nastaviti.

Struktura upravljanja projektima Danas postoji veoma veliki broj pristupa upravljanju projektima. Neki se fokusiraju na razvoj softvera, drugi zauzimaju nešto širi pristup, neki se koncentrišu na holistički i sistemski pristup, drugi obezbjeđuju veoma detaljan radni tok, uključujući i uzorke za kreiranje dokumentacije, itd. Najpoznatiji pristupi, de fakto standardi, su: - Project Management Body of Knowledge (PMBOK), izdat od Project Management Institute (PMI), - Projects in a Controlled Environment (PRINCE2 TM), izdat od Office of Government Commerce (OGC), ispred vlade Ujedinjenog Kraljevstva. Revizor IS bi trebao biti upoznat sa osnovnim značajkama ovih standarda. Opći aspekti

Projekti koji na bilo koji način uključuju informacioni sistem mogu biti pokrenuti iz bilo kojeg dijela organizacije, uključujući i IT funkciju. Projekat je uvijek vremenski ograničen poduhvat. Može biti kompleksan i uključivati elemente rizika. Projekat ima specifične ciljeve, isporuke, početni i krajnji datum. Većina IT projekata se može podijeliti u nekoliko eksplicitnih faza. Projekat se može posmatrati ne samo kao skup aktivnosti, već i kao socijalni sistem i privremena organizacija. Upravljanje projektima je poslovni proces u projektno orijentisanoj organizaciji, koji počinje sa projektnim čarterom, a završava sa isporukom rezultata projekta. Projektne organizacijske forme i uloge i odgovornosti

Postoje tri glavne forme organizacijskog usklađivanja upravljanja projektima unutar poslovne organizacije: 1) Uticajna projektna organizacija 2) Čista projektna organizacija 3) Matrična projektna organizacija. 24/39


U uticajnoj projektnoj organizaciji, projekt menadžer nema autoritet menadžmenta. Dozvoljeno mu je samo da savjetuje kolege i članove time o tome koje aktivnosti treba završiti. U čistoj projektnoj organizaciji, projekt menadžer ima formalni autoritet nad učesnicima projekta – članovima projektnog tima. Obično je ovo posebno naglašeno fizičkim izmještanjem projektnog tima u posebnu prostoriju. U matričnoj projektnoj organizaciji, autoritet je podijeljen između projekt menadžera i vođa odjela. Za revizora IS važno je razumjeti ove različite organizacijske forme i njihove implikacije na kontrolne mehanizme u procesu upravljanja projektima. Projektne inicijative koje pokreće sponzor projekta, razmatra i prioritizira projektni steering komitet. Projektni steering komitet nadzire tok projekta i osigurava adekvatnu uključenost svih zainteresovanih strana. Projektni steering komitet odgovoran je za sve isporuke, troškove projekta i tok projekta. Ovaj komitet imenuje projekt menadžera. Projekt menadžer (koji ne treba biti iz IT funkcije) treba imati kompletnu operativnu kontrolu nad projektom i odgovarajuće resurse, uključujući i IS profesionalce i uposlenike iz ostalih odjela, koji čine zajedno projektni tim. U cilju uspješnog završetka i implementacije bilo kojeg novog sistema ili procesa, preporučljivo je da audit funkcija bude uključena (gdje je to primjenjivo) u životni ciklus razvoja tog sistema ili procesa. Ovime će se olakšati napori da se obezbijedi da su prikladne kontrole pravovremeno dizajnirane i implementirane. Revizor IS može dati i neovisnu, objektivnu procjenu toka projekta i samih isporuka. Također, u projekat bi trebao biti uključen i Information Security Officer (ISO), čiji je zadatak da osigura da sistemske kontrole i prateći procesi obezbijede potreban nivo zaštite, definisan na temelju klasifikacije podataka. Osiguranje kvaliteta (QA) jesu osoblje koje pregleda rezultate i isporuke nakon svake projektne faze i potvrđuje usklađenost sa zahtjevima.

Ovisno o veličini i kompleksnosti projekta i uključenim stranama, komunikacija kod inicijalizacije projekta može biti postignuta: - Sastancima jedan na jedan, - Uvodnim (tzv. kick-off ) sastancima, - Projektnim radionicama - Kombinacijom gore navedenih pristupa. Kad god je to moguće, treba preferirati projektne radionice u kojima će učestvovati sve zainteresovane strane, čime će se razviti zajednički pogled na projekat i komuniciraće se projektna kultura na samom početku projekta.

25/39


Informacioni sistemi - Operacije, održavanje i podrška Prakse operativnog rada informacionog sistema, održavanja i podrške su veoma važne za obezbjeđivanje osiguranja korisnicima, kao i menadžmentu da će očekivani nivo servisa biti isporučen. Očekivani nivo servisa se izvodi iz poslovnih ciljeva organizacije. Isporuka IT servi sa uključuje operacije IS, IT servise i upravljanje informacionim sistemom, kao i grupe koje ih podržavaju. Zadaci unutar domena operativnog rada informacionog sistema, održavanja i podrške su: 1. Provoditi periodične preglede informacionog sistema kako bi se utvrdilo da li sistem nastavlja da podržava ciljeve organizacije. 2. Procijeniti prakse upravljanja nivoima IT servisa kako bi se utvrdilo da li su servisni nivoi (internih i eksternih IT servisa) definisani i da li se njima upravlja. 3. Procijeniti prakse upravljanja koje primjenjuje treća strana kako bi se utvrdilo da li eksterni pružalac usluga obezbjeđuje nivoe kontrola koje organizacija očekuje. 4. Procijeniti operacije IS i procedure krajnjih korisnika kako bi se utvrdilo da li se procesima u IS upravlja do njihovog završetka. 5. Procijeniti proces održavanja informacionog sistema kako bi se utvrdilo da li je proces efektivno kontrolisan i da li nastavlja da podržava ciljeve organizacije. 6. Procijeniti prakse upravljanja podacima kako bi se utvrdio integritet i optimizacija baza podataka. 7. Procijeniti alate i tehnike koji se koriste za praćenje kapaciteta i perfomansi informacionog sistema kako bi se utvrdilo da li se adekvatno upravlja ovim procesima. 8. Procijeniti prakse upravljanja incidentima i problemima kako bi se utvrdilo da li se incidenti, problemi i greške bilježe, analiziraju i pravovremeno rješavaju. 9. Procijeniti prakse upravljanja promjenama, konfiguracijama i novim verzijama ( release) kako bi se utvrdilo da li su planirane ili neplanirane izmjene koje se v rše u produkcijskom okruženju organizacije adekvatno kontrolisane i dokumentovane. 10. Procijeniti adekvatnost procedura sačinjavanja rezervnih kopija i njihove restoracije, kako bi se utvrdila raspoloživost informacija (podataka) neophodnih za odvijanje poslovnih procesa. 11. Procijeniti plan oporavka od katastrofe kako bi se utvrdilo da li plan omogućava i oporavak informacionog sistema u slučaju katastrofe.

Operacije informacionog sistema Operacije informacionog sistema (IS operacije) su zadužene za dnevnu podršku radu hardverskih i softverskih resursa informacionog sistema. Za odvijanje svih operacija unutar IS funkcije odgovoran je IS menadžment. Upravljanje IS operacijama uključuje: Alokaciju resursa – IS menadžment je odgovoran za osiguranje neophodnih resursa za provođenje planiranih aktivnosti IS operacija Standarde i procedure – IS menadžment je odgovoran za uspostavljanje neophodnih standarda i procedura za sve operativne aktivnosti, u skladu sa sveobuhvatnom poslovnom strategijom i politikama •

•

26/39

Revizija informacionih sistema November 14, 2013 •

Nadzor nad procesima – IS menadžment je odgovoran za nadzor i mjerenje perfomansi, efektivnosti i efikasnosti svih procesa IS operacija, a u cilju unapređenja procesa s vremenom.

Upravljanje IT servisima

Upravljanje IT servisima (ITSM – IT Service Management ) je koncept koji se sastoji od procesa i procedura za efikasnu i djelotvornu isporuku IT servisa poslovnim procesima. ITSM se fokusira na poslovne isporuke i pokriva infrastrukturno upravljanje IT aplikacijama koje podržavaju i isporučuju ove servise. Ovo uključuje fino podešavanje IT servisa, kako bi pratili promjenjive zahtjeve organizacije, kao i mjerenje i demonstraciju unapređenja kvaliteta servisa. IT Service Management

IT servisi podrške

Servis Desk Upravljanje incidentima Upravljanje problemima Upravljanje konfiguracijama Upravljanje promjenama Upravljanje novim verzijama

IT servisi isporuke

Upravljanje nivoima servisa Upravljanje IT finansijama Upravljanje kapacitetima Upravljanje kontinuitetom IT servisa Upravljanje raspoloživošću

IT servisima se najuspješnije upravlja koristeći ugovore o nivoima servisa (SLA – Service Level Agreement ). IS funkcija je servisna organizacija za krajnje korisnike. Kao takva, njen uspjeh ovisi o zadovoljavanju potreba korisnika i poštovanju ciljeva postavljenih unutar SLA. Hardver

Hardverske komponente informacionog sistema uključuju različite međusobno povezane komponente koje obavljaju specifične funkcije i koje mogu biti klasifikovane kao komponente za procesiranje (CPU) ili komponente za ulaz/izlaz (I/O). U nastavku su pobrojane neke od najčešćih uloga / vrsta hardvera: - Print server – server za mrežnu kontrolu štampanja - File server – server za pohranjivanje i dijeljenje datoteka - Aplikativni server – server na kojem su hostane aplikacije - Web server – server na kojem su hostane web aplikacije - Proxy serveri – obezbjeđuju posredni pristup korisnika resursima - Database server – server na kojem su pohranjeni sirovi podaci - Specijalni serveri ( Appliances) – serveri sa specijalnom namjenom (firewall, IDS, IPS, itd) Kako bi se osigurao rad hardverskih komponenti, one moraju biti redovno održavane, čišćene i servisirane. Zahtjevi održavanja variraju, ovisno od kompleksnosti i opterećenja uređaja. Kad se provodi

27/39


revizija, revizor IS treba provjeriti da li postoji formalni plan održavanja i identifikovati eventualne troškove održavanja koji značajno prelaze budžet (ovo može biti znak nepoštivanja planova održavanja). Također, rad hardverskih komponenti se mora redovno nadzirati. Tipične procedure nadzora uključuju: praćenje raspoloživosti, praćenje izvještaja o greškama, praćenje iskorištenosti (CPU, memorije, diskovnog prostora). Softver

Arhitektura većine računara se može posmatrati kao određeni broj nivoa električnih kola, organizovanih u hijerarhijske strukture koje komuniciraju sa operativnim sistemom računara. U osnovi je kompjuterski hardver, koji uključuje određene hard-coded instrukcije ( firmware). Sljedeći nivo u hijerarhiji su funkcije jezgra, koje se povezuju sa osnovnim procesima operativnog sistema. Ovi procesi su u stvari sistemski softver, kolekcija računarskih programa koji se koriste u dizajnu, procesiranju i kontroli svih računarskih aplikacija. Najznačajniji sistemski softver je operativni sistem (OS). Operativni sistem sadrži programe koji predstavljaju interfejs između korisnika, procesora i aplikativnog softvera. Obezbjeđuje primarno sredstvo upravljanja resursima hardvera. Softver za kontrolu pristupa služi da spriječi neautorizovan pristup podacima, sistemskim funkcijama i programima, te da otkrije i spriječi neautorizovan pristup računarskim resursima. Softver za prenos podataka služi za prenos poruka i podataka iz jedne tačke u drugu, pri čemu ove tačke mogu biti u različitim mrežama. Neki od najpoznatijih softvera za prenos podataka su EBCDIC, ASCII i Unicode. Za upravljanje podacima koristi se sistemski softver koji omogućava i podržava definisanje, pohranjivanje, dijeljenje i procesiranje korisničkih podataka i upravljanje datotekama u kojima su sadržani podaci. Sistem za upravljanje bazama podataka (DBMS – Database Management System) je sistemski softver koji pomaže u organizovanju, kontroli i korištenju podataka. DBMS podaci su organizovani u šeme sa više nivoa, sa osnovnim elementima, kao što su polja, na najnižem nivou. DBMS mogu uključivati data rječnik, koji identifikuje polja, njihove karakteristike i njihovo korištenje.

28/39


Zaštita informacijske imovine Ovo poglavlje tretira ključne komponente koje osiguravaju CIA, povjerljivost (C - Confidentiality), integritet (I - Integrity) i raspoloživost (A - Availability) informacijske imovine. Ocjenjuju se dizajn, implementacija i nadzor logičkih i fizičkih kontrola pristupa. Također, ocjenjuje se mrežna sigurnost, te procesi i procedure primjenjeni na skladištenje, preuzimanje, transport i odlaganje informacijskih resursa. Zadaci unutar domena zaštite informacijske imovine su: 1. Procijeniti politiku informacijske sigurnosti, prateće standarde i procedure, kako bi se utvrdila njihova kompletnost i usklađenost sa generalno prihvaćenim praksama. 2. Procijeniti dizajn, implementaciju i nadzor sistema i logičkih sigurnosnih kontrola, u cilju verifikacije povjerljivosti, integriteta i raspoloživosti informacija. 3. Procijeniti dizajn, implementaciju i nadzor nad procesom i procedurama klasifikacije podataka, u cilju verifikacije usklađenosti sa politikama, standardima i procedurama organizacije i primjenjivih regulatornih okvira. 4. Procijeniti dizajn, implementaciju i nadzor kontrola fizičkog pristupa i zaštite od okolinskih prijetnji, kako bi se utvrdilo da li su informacijski resursi adekvatno zaštićeni. 5. Procijeniti procese i procedure primjenjene na skladištenje, preuzimanje, transport i odlaganje informacijskih resursa (npr. backup medija, offsite storage-a, štampanih podataka, itd), kako bi se utvrdilo da li su informacijski resursi adekvatno zaštićeni.

Važnost upravljanja sigurnošću informacija Sigurnosni ciljevi kojima se ispunjavaju poslovni zahtjevi uključuju: - Osigurati kontinuiranu raspoloživost informacionog sistema, - Osigurati integritet informacija pohranjenih u informacionom sistemu i pri prenosu između sistema, - Očuvati povjerljivost osjetljivih podataka, - Osigurati usklađenost sa primjenjivim zakonima i standardima, - Osigurati pridržavanje ugovornih obaveza. Ključni elementi upravljanja informacijskom sigurnošću

Ključni elementi upravljanja informacijskom sigurnošću Posvećenost i podrška najvišeg menadžmenta

Posvećenost i podrška najvišeg menadžmenta su kritični faktor uspjeha uspostave i primjerenog odvijanja programa upravljanja informacijskom sigurnosti.

Politike i procedure

Okvir politika i procedura treba biti uspostavljen sa precizno definisanim smjernicama od strane najvišeg menadžmenta, koje adresiraju vrijednost informacijske imovine, potrebu za sigurnošću i važnost klasifikacije i movine u smislu određivanja kritične i osjetljive imovine. Nakon što krovni dokument – Politiku informacijske sigurnosti – odobri najviši nivo odlučivanja u organizaciji, program informacijske sigurnosti

29/39


Ključni elementi upravljanja informacijskom sigurnošću treba biti dopunjen sa: Minimalnim sigurnosnim standardima Mjernim kriterijima i metodama Specifičnim smjernicama, praksama i procedurama. Sigurnosne politike i proced ure moraju biti ažurne i reflektovati poslovne ciljev, kao i generalno prihvaćene standarde i prakse sigurnosti. Sigurnosne politike i procedure moraju biti unutar okvira važećih zakonskih okvira. • • •

Organizacija

Odgovornosti za zaštitu informacijskih resursa moraju biti jasno dodijeljene. Politika informacijske sigurnosti treba obezbijediti generalne vodilje za alokaciju uloga i odgovornosti u informacijskoj sigurnosti i tamo gdje je to potrebno, detaljne smjernice za specifičnu imovinu, servise i povezane procese, kao što su npr. planiranje oporavka i kontinuiteta poslovanja.

Svijest o sigurnosti i edukacija

Svi uposlenici organizacije i tamo gdje je to relevantno i vanjski saradnici, trebaju pohađati prikladan trening, u cilju podizanja svijesti o informacijskoj sigurnosti i usklađenosti. Za nove uposlenike, ovaj trening treba provesti prije nego uposlenik dobije pristup informacionom sistemu organizacije. Raspoloživo je više različitih mehanizama za podizanje svijesti o informacijskoj sigurnosti: Formalni trening Redovno ažuriranje sigurnosnih politika i procedura Interni certifikacijski program za relevantno osoblje Izjave potpisane od strane uposlenika i vanjskih saradnika o prihvatanju sigurnosnih politika i procedura Korištenje prikladnih publikacijskih medija za distribuciju materijala koji propagira informacijsku sigurnost Sigurnosne vježne i simulirani sigurnosni incidenti. • • •

•

•

•

Nadzor i usklađenost

Revizori IS su često zaduženi da na redovnoj osnovi, rade procjenu efektivnosti programa informacijske sigurnosti organizacije. Kako bi ispunili ovu zadaću, oni moraju razumjeti zaštitne šeme, sigurnosni okvir i povezana pitanja, uključujući usklađenost sa primjenjivim zakonima.

Upravljanje incidentima

Sigurnosni incident je događaj koji negativno utiče na korištenje informacija, odnosno rad informacionog sistema. Ovo uključuje gubitak povjerljivosti informacija, kompromitaciju njihovog integriteta, denial of service, neautorizovani pristup sistemu, zloupotreba sistema i informacija, krađe i oštećenja, virusni napadi, itd.

Popis i klasifikacija informacijske imovine

Efektivna kontrola zahtijeva detaljan popis informacijske imovine. Takav popis je prvi korak u procesu klasifikacije resursa informacionog sistema. Popis treba da sadrži (minimalno): Jedinstvenu identifikacijsku oznaku imovine Relativnu vrijednost imovine Lokaciju Sigurnosnu klasifikaciju Grupu (npr, hardver, softver i sl) Vlasnika • • • • • •

30/39


Skrbnika.

Informacijska imovina ima različite stepene osjetljivosti i kritičnosti u ispunjavanju poslovnih zahtjeva. Dodjeljivanjem klasa ili nivoa osjetljivosti ili kritičnosti informacijskim resursima i uspostavljanjem specifičnih sigurnosnih pravila za svaku klasu, moguće je definisati nivoe kontrola pristupa koje trebaju biti primjenjene za svaki informacijski resurs. Klasifikacija informacijske imovine reducira rizik i troškove prevelike i premale zaštite resursa, povezujući sigurnosne zahtjeve sa poslovnim ciljevima. Podaci uvijek trebaju biti tretirani kao ključni IS resurs. Klasifikacija podataka je najznačajniji dio klasifikacije informacijskih resursa. Pri klasifikaciji podataka treba uzeti u obzir zakonske i ugovorne odredbe za očuvanje privatnosti, povjerljivosti, integriteta i raspoloživosti informacija. Pristup informacionom sistemu

Pristup informacionom sistemu se uspostavlja, njime se upravlja i on se kontroliše na fizičkom i/ili logičkom nivou. Kontrole fizičkog pristupa ograničavaju fizički pristup resursima informacionog sistema. Kontrole logičkog pristupa ograničavaju pristup resursima informacionog sistema na logičkom nivou. Sa stanovišta primjenjenih logičkih kontrola, informacijsku imovinu je moguće grupisati u četiri skupine: mreža, operativni sistemi, baze podataka i aplikacije. Ovakav koncept višeslojne sigurnosti pruža veći obim i granularnost kontrola informacionog sistema. Fizički ili logički pristup informacijskim resursima treba biti dokumentovan i dodijeljivan isključivo na „need-to-know “ i „need-to-do“ osnovi, samo kada postoji legitimna poslovna potreba temeljena na principu najmanjih privilegija i segregaciji dužnosti. Ovih principa se treba držati i revizor IS, prilikom ocjenjivanja prikladnosti kriterija za dodjelu prava pristupa i ovlaštenja. Organizacija treba uspostaviti takve temeljne kriterije za dodjelu prava pristupa i ovlaštenja, uključujući ko treba imati pristup i koji nivo pristupa je potreban. Potrebno je redovno vršiti pregled dodijeljenih ovlaštenja, kako bi se o siguralo da su ovlaštenja još uvijek validna i u skladu sa postavljenim principima. Personalne promjene, zlonamjerni pokušaji, te jednostavno nebriga, rezultuju povećanjem ovlaštenja i mogu uticati na efektivnost kontrola pristupa. Često, prilikom odlaska uposlenika, njegova ovlaštenja se ne uklanjaju, stvarajući time mogućnost neautorizovanog pristupa. Zbog toga je dobra praksa uvezivanje upravljanja kontrolama pristupa sa procesom upravljanja ljudskim resursima. Upravljanje sigurnosnim incidentima

Kako bi se minimizirala šteta zbog sigurnosnih incidenata i u cilju učenja iz ovakvih incidenata, treba uspostaviti formalni proces upravljanja sigurnosnim incidentima. Proces treba da uključuje sljedeće korake: planiranje i pripremu, otkrivanje, zapisivanje, procjenu, ograničavanje, otklan janje, eskalaciju, odgovor, oporavak, zatvaranje, izvještavanje, pregled nakon incidenta, naučene lekcije. Incidenti se javljaju kao posljedica ranjivosti koje nisu prikladno tretirane. Stoga, proces upravljanja incidentima treba uključivati i upravljanje ranjivostima.

31/39


Idealno bi bilo formirati tim za odgovore na sigurnosne incidente (CSIRT – Computer Security Incident Response Team), koji bi bio zadužen za provođenje plana odogovora na sigurnosne incidente.

Logički pristup Logičke kontrole pristupa su primarno sredstvo za upravljanje i zaštitu informacijskih resursa. Logičke kontrole pristupa (trebalo bi da) proizilaze iz politika i procedura u cilju osiguranja zaštite i reduciranja rizika do nivoa prihvatljivog organizaciji. Revizor IS treba biti u stanju da analizira i procijeni efektivnost logičkih kontrola pristupa u uspostavljanju ciljeva informacijske sigurnosti i izbjegavanju gubitaka zbog izloženosti rizicima. Izloženosti mogu rezultovati od minornih neugodnosti do potpunog zastoja kompletnog informacionog sistema. Identifikacija i autentifikacija

Identifikacija i autentifikacija (I&A) predstavljaju proces uspostavljanja i dokazivanja nečijeg identiteta. To je proces u kojem sistem dobiva od korisnika njegov pretpostavljeni identitet i kredencijale (autentifikacijske oznake) kojima se taj identitet potvrđuje. I&A je kritičan gradivni element informacijske sigurnosti, budući da je potreban za većinu kontrola pristupa i neophodan za uspostavljanje lične odgovornosti korisnika. Najčešće ranjivosti I&A koje mogu dovesti do ostvarivanja neautorizovanog pristupa sistemu su: Slabe autentifikacijske metode Mogućnost da korisnik zaobiđe mehanizam autentifikacije Nedostatak povjerljivosti i integriteta za pohranjene autentifikacijske informacije Nedostatak enkripcije autentifikacije i zaštite informacija kod prenosa kroz mrežu Nedostatak znanja korisnika o rizicima povezanim sa dijeljenjem autentifikacijskih elemenata. • • • • •

Autentifikacija je tipično karakterizirana kao „nešto što znaš“ (npr. lozinka), „nešto što imaš“ (npr. token, kartica) i „nešto što jesi“ (biometrijska osobina). Ove tehnike mogu se koristiti zasebno ili u kombinaciji. Kombinacija više od jedne metode autentifikacije (npr. lozinka + token) naziva se višestrukom autentifikacijom. Upravljanje lozinkama

U nastavku je nešto detaljnije opisana lozinka kao najčešće sredstvo autentifikacije. Inicijalne lozinke mogu biti dodijeljene od strane administratora ili automatski generisane u sistemu. Kod prve prijave u sistem, korisnik mora promijeniti lozinku (sistem treba isforsirati promjenu lozinke). ID i lozinka trebaju biti komunicirani na povjerljiv način. U nastavku su date neke od dobrih praksi upravljanja lozinkama: sistem upravljanja lozinkama mora osigurati odabir kvalitetne lozinke, tamo gdje je to primjenjivo, a minimalno za pristup računarskoj mreži organizacije; opis kvalitetne lozinke dat je na kraju ovog poglavlja sistem upravljanja lozinkama mora osigurati promjenu lozinke minimalno svakih 60 dana •

•

32/39


•

• •

sistem upravljanja lozinkama mora osigurati da prilikom promjene lozinke nije dozvoljeno ponavljanje zadnjih 8 lozinki ukoliko korisnik želi promijeniti svoju lozinku, sistem upravljanja lozinkama mora ustanoviti identitet korisnika tako što će korisnik unijeti prethodnu lozinku lozinka se prilikom unosa ne smije vidjeti na ekranu ukoliko dođe do pogrešnog unosa lozinke tri puta za redom, sistem mora blokirati taj korisnički račun; tako blokiran korisnički račun može se deblokirati isključivo intervencijom administratora sistema; administrator sistema je u slučaju deblokade korisničkog računa u obavezi da pošalje informaciju neposrednom rukovodiocu vlasnika računa.

Kvalitet lozinke određuje njena kompleksnost. Lozinka mora biti sastavljena od karaktera iz minimalno 3 grupe od sljedeće četiri: velika slova abecede (A - Z), mala sloba abecede (a - z), brojevi (0 - 9), specijalni karakteri (npr. !, $, #, %). Lozinka mora biti duga minimalno 8 karaktera. • • • •

Sistemski i operativni zapisi u nadzoru kontrola pristupa

Softveri za kontrolu pristupa danas su uglavnom opremljeni dodatnim sigurnosnim funkcionalnostima koje vrše automatsko bilježenje i izvještavanje o svim pokušajima pristupa – uspješnim i neuspješnim. Ove informacije obezbjeđuju menadžmentu mogućnost rekonstrukcije događaja, utvrđivanja lične odgovornosti, otkrivanja neovlaštenog pristupa i aktivnosti u sistemu, te identifikacije potencijalnih problema. Integritet zapisa mora biti sačuvan, kako bi se osigurala dokazivost i neporecivost događaja. U svrhu zaštite integriteta, dokazivosti i neporecivosti, potrebno je razdvojiti dužnosti osoba koje administriraju kontrole pristupa i osoba zaduženih za administraciju i pregled zapisa. Također, zbog same njihove prirode, zapisi se klasifikuju kao strogo povjerljive informacije i pristup njima mora biti usklađen sa ovom klasifikacijom.

Mrežna sigurnost U nastavku su date neke od najznačajnijih kontrola računarske mreže: funkcija kontrole mreže treba biti vršena od strane osoba koje posjeduju adekvatna znanja i iskustva funkcija kontrole mreže treba biti odvojena i odgovornosti trebaju biti rotirane redovno, gdje je to moguće softver za kontrolu mreže mora ograničiti pristup operatora obavljanju određenih f unkcija (npr. sposobnost da obriše / izmjeni zapis o aktivnosti operatora) softver za kontrolu mreže treba praviti zapise o svim aktivnostima operatora zapisi se trebaju periodično pregledavati od strane menadžmenta operacija, ili neke neovisne funkcije, u cilju otkrivanja neautorizovanih aktivnosti operativni standardi i protokoli rada računarske mreže trebaju biti dokumentovani i dostupni operatorima; dokumentacija treba biti redovno ažurirana (kod svake promjene u mreži) • •

•

• •

•

33/39


•

potrebno je provoditi redovne analize u cilju utvrđivanja uobičajenog radnog opterećenja, odgovora sistema i njegove efikasnosti enkripcija podataka treba biti korištena, gdje je prikladno.

Kako bi stekao puno razumijevanje računarske mreže organizacije, revizor IS treba identificirati i analizirati sljedeće: - topologiju mreže i mrežni dizajn - administratora mreže - funkcije administratora mreže - različite grupe korisnika mreže - procedure i standarde koji se odnose na mrežni dizajn, podršku i sigurnost podataka.

34/39


Okviri i metode provedbe revizije informacionih sistema CobiT

CobiT (Control Objectives for Information and Related Technology ) je krovni okvir za korporativno upravljanje informacionim sistemima. Procesno je orijentisan i nudi preporuke za usklađivanje ciljeva rada informacionog sistema sa ciljevima poslovanja organizacije. Nastao je 1996. godine, kao alat za podršku provedbi revizije finansijskih izvještaja. Izdat je od strane IT Governance Institute (ITGI) i Information System Audit and Control Association (ISACA), krovnog svjetskog udruženja za kontrolu i reviziju informacionih sistema. Vrlo brzo se razvijao, prateći razvoj uloge informacionih sistema u modernom poslovanju, pa je već druga verzija iz 2000. godine postala najkorišteniji okvir za provjeru informacionih sistema. Verzija 4 (2005. godina) postala je najvažniji okvir provedbe koncepta korporativnog upravljanja informacionim sistemima. Najnovija vertija COBIT 5, izdata 2012. godine, detaljno opisuje 37 ključnih informatičkih procesa (ciljeva provjere), svrstanih u 5 područja, sa preko 300 detaljnih informatičkih kontrola. COBIT 5 integriše, CobiT 4.1, Val IT 2.0 i Risk IT okvir i izvodi se iz ISACA osiguravajućeg okvira (IT Assurance Framework , ITAF) i poslovnog modela za informacijsku sigurnost (Business Model for Information Security , BMIS). COBIT 5 razdvaja procese korporativnog upravljanja i menadžmenta u 2 glavna procesna domena: korporativno upravljanje (1 područje) o Evaluating, Direction, Monitoring (EDM), menadžment (4 područja) o Align, Plan and Organise (APO) o Build, Acquire and Implement (BAI) o Deliver, Service and Support (DSS) o Monitor, Evaluate and Assess (MEA). U nastavku su detaljnije pojašnjeni 37 ključnih informatičkih procesa, raspoređeni u 5 područja, koji se nalaze u centru COBIT 5 metodologije. •

•

Područje korporativnog upravljanja (EDM) osigurava da se ciljevi organizacije postižu procjenom potreba učesnika poslovnog procesa, uvjeta i mogućnosti, te postavljanjem smjera tako da se definišu prioriteti, donose odluka, prate performanse sistema, kao i usklađenost i napredak prema dogovorenim ciljevima. Procesi koji to osiguravaju su: EDM 1: osiguranje postavki i održavanja okvira za upravljanje, EDM 2: osiguranje isporuke koristi, EDM 3: osiguranje optimizacije rizika, EDM 4: osiguranje optimizacije resursa, EDM 5: osiguranje transparentnosti prema zainteresovanim stranama. • • • • •

Područje usklađivanja, planiranja i organizovanja (APO) sastoji se od sljedećih procesa: APO 1: upravljanje radnim okvirom IT menadžmenta, APO 2: upravljanje strategijom, • •

35/39

Revizija informacionih sistema November 14, 2013 • • • • • • • • • • •

APO 3: upravljanje informacijskom arhitekturom, APO 4: upravljanje inovacijama, APO 5: upravljanje portfoliom, APO 6: upravljanje budžetom i troškovima, APO 7: upravljanje ljudskim resursima, APO 8: upravljanje odnosima, APO 9: upravljanje nivoom usluga, APO 10: upravljanje dobavljačima, APO 11: upravljanje kvalitetom, APO 12: upravljanje rizikom i APO 13 upravljanje sigurnošću.

Područje nadzora, evaluacije i procjene (MEA) obuhvata praćenje performansi i rada sistema i poduzimanje određenih korektivnih akcija. Sastoji se od sljedećih procesa: MEA 1: nadzor, evaluacija i procjena performansi i usklađenosti, MEA 2: nadzor, evaluacija i procjena sistema internih kontrola, MEA 3: nadzor, evaluacija i procjena eksternih zahtjeva. • • •

Područje isporuke, servisa i podrške (DSS) obuhvata definisanje postupaka za rad unutar informacionog sistema, te pružanje podrške procesima koji omogućavaju učinkovit rad sistema: DSS 1: upravljanje operacijama, DSS 2: upravljanje zahtjevima i incidentima, DSS 3: upravljanje problemima, DSS 4: upravljanje kontinuitetom, DSS 5: upravljanje servisima sigurnosti i DSS 6: upravljanje kontrolama poslovnog procesa. • • • • • •

Područje izgradnje, nabavke i implementacije (BAI) obuhvata identifikaciju i alokaciju potrebne tehnologije za poslovne procese i definiše načine upravljanja koristeći sljedeće procese: BAI 1: upravljanje programima i projektima, BAI 2: upravljanje definicijama zahtjeva, BAI 3: upravljanje pronalaženjem rješenja i izgradnjom, BAI 4: upravljanje raspoloživošću i kapacitetom, BAI 5 :upravljanje omogućavanjem organizacijskih promjena, BAI 6: upravljanje promjenama, BAI 7: upravljanje prelazima i prihvatanjem promjena, BAI 8: upravljanje znanjem, BAI 9: upravljanje imovinom i BAI 10: upravljanje konfiguracijama. • • • • •

• • • • •

U suštini, COBIT je poslovno orijentisana metodologija, koja ima za cilj usklađivanje informacionog sistema sa poslovnim zahtjevima u svrhu postizanja poslovnih ciljeva. Da bi se taj proces olakšao, definisani su generički modeli uobičajenih poslovnih i ciljeva informacionog sistema. Definisana je i matrica korelacije koja daje odnos poslovnih ciljeva i potrebnih ICT alata koji pomažu njihovo ostvarivanje.

36/39


Ključne uloge, aktivnosti i odnosi prikazani su na donjoj slici.

6

ISO/IEC 27000 standardi

ISO/IEC 27000 je porodica međunarodnih standarda iz oblasti informacijske sigurnosti, koje je razvila i objavila Međunarodna organizacija za standardizaciju (ISO) i Međunarodno elektrotehničko povjerenstvo (IEC). Ovi standardi predstavljaju globalno priznati okvir za najbolje prakse upravljanje informacijskom sigurnošću. Do sada je objavljeno više od 15 standarda iz ove porodice, od kojih su svakako najpoznatiji: ISO/IEC 27000:2009 (ISO 27000) ISMS Introduction & Vocabulary, ISO/IEC 27001:2005 (ISO 27001) ISMS – Requirements, ISO/IEC 27002:2005 (ISO 27002) Code of practice for information security management, ISO/IEC 27005:2011 (ISO 27005) Information security risk management. • • • •

U nastavku su ilustracije radi pobrojane ISO 27001 (2005) kontrole (39 sigurnosnih ciljeva podijeljenih u 11 domena): 1. Politika informacijske sigurnosti 2. Organizacija informacijske sigurnosti 2.1. Interna organizacija 2.2. Eskterni saradnici 3. Upravljanje informacijskim resursima (imovinom) i klasifikacija informacija 3.1. Odgovornost za informacijske resurse (imovinu) 3.2. Klasifikacija informacija 4. Informacijska sigurnost i privatnost uposlenika 4.1. Sigurnost i privatnost prije zaposlenja 4.2. Sigurnost i privatnost u toku zaposlenja 4.3. Prekid ili promjena zaposlenja 5. Fizička sigurnost i sigurna područja 5.1. Sigurna područja 5.2. Fizička sigurnost opreme 6. Upravljanje komunikacijama i operacijama 6.1. Operativna uputstva i odgovornosti 6.2. Upravljanje pružanjem usluga trećih strana 6

ISACA (2012): COBIT 5 – A Business Framework for the Governance and Management of Enterpris e IT

37/39


6.3. Planiranje i prihvatanje sistema 6.4. Zaštita od malicioznog koda 6.5. Rezervne kopije 6.6. Upravljanje sigurnošću računarskih mreža 6.7. Rukovanje medijima (za pohranu podataka) 6.8. Razmjena informacija 6.9. Servisi elektronske trgovine 6.10. Nadzor 7. Kontrola pristupa 7.1. Poslovni zahtjevi i politika kontrole pristupa 7.2. Upravljanje korisničkim pristupom 7.3. Odgovornosti korisnika 7.4. Kontrola pristupa računarskoj mreži 7.5. Kontrola pristupa operativnom sistemu 7.6. Kontrola pristupa poslovnim informacijama i aplikacijama 7.7. Upotreba prenosive opreme i rad na daljinu 8. Nabavka, razvoj i održavanje informacionog sistema 8.1. Sigurnosni zahtjevi informacionih sistema 8.2. Ispravna obrada u aplikacijama 8.3. Kriptografske kontrole 8.4. Sigurnost sistemskih datoteka 8.5. Sigurnost u procesima razvoja i podrške 8.6. Upravljanje ranjivošću 9. Upravljanje sigurnosnim incidentima 9.1. Izvještavanje o sigurnosnim događajima i slabostima 9.2. Upravljanje sigurnosnim incidentima i poboljšanjima 10. Upravljanje kontinuitetom poslovanja 11. Usklađenost 11.1. Usklađenost sa zakonskim propisima 11.2. Usklađenost sa sigurnosnim politikama i standardima i tehnička usklađenost 11.3. Revizija informacionih sistema

ITIL

ITIL (IT Infrastructure Library ) je okvir dobrih praksi za uspostavljanje i unapređenje upravljanja IT servisima, u cilju njihovog usklađivanja sa potrebama poslovanja. ITIL je skup znanja i vještina za koje je potvrđeno u različitim okruženjima i situacijama da daju dobre rezultate u ovom području. Izdavač je Office of Government Commerce (OGC), ispred vlade Ujedinjenog Kraljevstva. Nakon početne objave u 1989-1996, trenutno je aktuelna verzija ITIL v3, sa 5 publikacija, objavljenih tokom 2007. godine (ažurirano u 2011. godini): 1. ITIL Service Strategy, 2. ITIL Service Design, 3. ITIL Service Transition, 4. ITIL Service Operation, 5. ITIL Continual Service Improvement.

38/39

Revizija Informacionih Sistema

Recommend Documents