J'ai un audit à venir, et je me demandais quels contrôles d'accès physiques, électroniques et logiques un auditeur rechercherait lors de l'audit d'une base de données pour un système ERP. Je suis vraiment nouveau dans ce processus et tout conseil serait apprécié.
sql-server
oracle
security
audit
Robert Silvie II
la source
la source
J'applaudis vos efforts, mais la question posée est probablement trop vague. Différentes règles s'appliquent à différentes industries et, en outre, vous avez parfois la possibilité de définir vos propres règles, il vous suffit de les suivre.
Je suggérerais de vérifier avec quelqu'un quel audit vous êtes censé réussir, puis de trouver les exigences spécifiques.
la source
Pour ajouter aux excellents liens ci-dessus; J'ai trouvé les documents suivants comme référence utile concernant la sécurité et l'audit:
la source
Un point manqué par ceux ci-dessus concerne l'identification exacte de ce que vous protégez - s'il s'agit de données de carte de crédit, alors il est facile de réaliser que vous avez besoin de PCI-DSS, mais dans le cadre plus large des choses, PCI-DSS n'est pas vraiment utile sauf à titre de référence minimale. Vous devez identifier ce qui est utile à votre entreprise, que ce soit pour des raisons commerciales ou parce que le régulateur ou les actionnaires le disent, et vous assurer que votre audit en tient compte.
Je suggère également de consulter security.stackexchange.com , qui s'adresse spécifiquement aux professionnels de la sécurité et des risques, et nous sommes nombreux à avoir effectué des audits de sécurité, aidé à la préparation des audits, mené des programmes d'amélioration et de test de sécurité à grande échelle. etc.
la source