Tako *Paweł Tanaś* do nas rzecze :
[...]
Zalezy od klasyfikacji ale np. o ile dobrze pamietam dokumenty
ksiegowe maja 5-cio letnia karencje, a wiec (nie jest to w ustawie
najlepiej przetrzymywac w takim samym okresie czasowym.
|
Przypuszczam, że nie zdajesz sobie sprawy z logistyki z tym związanej.
Audytora najczęściej interesuje, to czy lista uprawnionych jaką posiada
właściciel jest odwzorowaniem listy osób uprawnionych w
systemie. Masz mieć
matrycę "as is" i "as should be". Jeśli są różne, to pojawia się problem,
ale nie jest istotne czy kwit jest czy go nie ma. Istotne jest, że proces
nie jest należycie zarządzany. Co mi z tego, że mam kwit podpisany przez 4
osoby z których żadna nie pracuje w instytucji? Nie wyobrażam sobie również,
bym przykładowo za każdym razem musiał podpisać kwity, aby otrzymać konto na
Tajwanie, Singapurze czy gdzieś tam daleko... Takie rzeczy robi się mailem
korporacyjnym bez szyfrowania. Kwestia wartości
systemu, potencjalnych
zagrożeń i podatności czyli znowu
analiza ryzyka.
[...]
To juz akurat precyzuje dokument polityki bezpieczenstwa informacji w
organizacji
|
Polityka mówi o instytucji właściciela i określa procesy a nie bawi się w
detale. Polityka to dokument ogólny określający ogólne zasady a nie
szczegóły. Jeszcze raz zwrócę uwagę na
analizę ryzyka i klasyfikację. Nikt
przy zdrowych zmysłach nie narzuci w polityce ścisłych wymagań odnośnie
każdego
systemu, bo to jest nierealizowalne i zbyt kosztowne a przede
wszystkim nie nadąża za zmianą. Inaczej potraktujesz
system transakcyjny
obsługujący milionowe transakcje a inaczej prostą aplikację użytkową.
Kontrola dostępu w obu przypadkach musi być ale zróżnicowana oczywiście w
oparciu o jakąś podstawę.
[...]
wiec podpis jest jak najbardziej wiarygodny i mozliwy do
weryfikacji poprzez np. garfologa w przypadku sytuacji spornych.
|
W relacjach pracodawca <-pracownik obowiązuje
kodeks pracy. Pracodawca może wypieprzyć na zbity pysk za nadużycia i
zgłosić do prokuratury zawiadomienie o ewentualnym popełnieniu przestępstwa
(o ile ma podstawy). Nie sądzę, by spierali się na temat tego, czy podpisał
kwit o nadanie uprawnień czy nie. To są wewnętrzne regulacje. Management
może podjąć decyzję, że robi wszystko na krzywy ryj (czyli jego ustne
polecenie ;) ). Ma prawo jako właściciel biznesu (o ile czynniki zewnętrzen
mu nie przeszkodzą).
W nadawaniu uprawnień kluczowy jest proces a nie dokument. Dokument to
formalizm, każda osoba biorąca udział w procesie ma świadomie podejmować
decyzję. Podpis wzmacnia tę świadomość.
[...]
Uzytkownik zawsze bedzie niezadowolony nawet jezeli bedzie mial tylko
jedna procedure. Jezeli nie bedzie ich wcale .. uzytkownik i tak
bedzie niezadowolony :)
|
Użytkownik jest reprezentantem właściciela w jego imieniu wykonuje daną
czynność. Jeśli marudzi to znaczy, że proces nie spełnia wymagań. Nie chodzi
o sytuację, gdy człowiek marudzi z lenistwa czy niewiedzy, na to są inne
rozwiązania. Gorzej, gdy proce jest zły. Procesy są dla ludzi a nie ludzie
dla procesów.
[...]
Po czesci sie zgadzam, jednakze praktyka jest zupelnie inna.
|
Gdzie? Bo ja właśnie znam taką praktykę od wielu lat, przynajmniej w
niektórych firmach w Polsce i Europie.
[...]
Jak udowodnisz ze przydzieliles dostep do zasobu X na polecenie Pana Y?
Mejl? Mejla mozna spreparowac w bardzo prosty sposob i kazdy domorosly
informatyk/biegly wytknie ci to w sadzie.
|
Dokumenty tego typu są wewnętrznymi regulacjami organizacji. Nie ma wymogu
formalnego posiadania kwitów. Nie służą one jako dowody w sądach. Przyjmując
pracownika do pracy pracodawca ma mu dać narzędzia umożliwiające tę pracę.
Narzędziem jest przykładowo pewna funkcjonalność
systemu informatycznego.
Pracodawca w formaly sposób może nadać uprawnienia albo powiedzieć "siadaj
Wiesiek, tu masz konto, tu masz hasło i rób, nauczysz się" (takie przypadki
jeszcze kilka lat temu były normą). Oczywiście np. w instytucjach
finansowych tak się nie dziej bo są narzucane zewnętrzne regulacje (NBP,
KNUiFE czy nawet stosowne rozporządzenia do ustawy o
ochronie danych
osobowych).
By nie bić piany, moim zdaniem nadmierny, nieuzasadniony formalizm przy
zarządzaniu ryzykiem jest równie groźny co brak formalizmu. Uważam, że
trzymanie dokumentów wykorzystywanych do nadawania uprawnień przez pięć lat
to czynność całkowicie pozbawiona rozsądku. Wystarczy, że urzędy państwowe
mają nadmierną biurokrację...
