Czym jest audyt informatyczny, dlaczego warto go wykonać, komu powierzyć?

Audyt informatyczny jest pojęciem bardzo szerokim i w praktyce najczęściej wykonuje się tylko część zadań, które mogą się zmieścić w definicji tego działania. Najogólniej rzecz ujmując, jest to proces weryfikacji przez niezależnych kontrolerów poprawności funkcjonowania systemów informatycznych we wskazanym zakresie.

Co obejmuje audyt informatyczny?

Audyt informatyczny może obejmować działania z różnych zakresów funkcjonowania systemów komputerowych, a więc na przykład weryfikację, czyli sprawdzenie i – co bardzo ważne – zebranie dowodów, integralności systemu, jego bezpieczeństwa, zgodności z normami technicznymi, konstrukcji itd. Celem audytora jest potwierdzenie, że funkcjonujące systemy komputerowe realizują cele strategiczne i taktyczne organizacji, a jeśli tak nie jest, wskazanie problemów wraz z dowodem na ich istnienie. Niezbędnym elementem audytu jest również przegląd danych historycznych, co ma służyć upewnieniu się, że wykrywane w ramach wewnętrznych procedur sprawdzających usterki są na bieżąco usuwane. To niezwykle ważne, ponieważ żaden system komputerowy nie jest doskonały i ze względu na błąd człowieka, sprzętu lub oprogramowania zawsze mogą pojawić się problemy – nie są one jeszcze zmartwieniem tak dużym, jak kłopot z reagowaniem na wykryte usterki.

Na czym dokładnie polega audyt informatyczny?

Audyt informatyczny jest procesem wieloetapowym. Przede wszystkim należy zaznaczyć, iż prowadzony jest najczęściej tylko w pewnym zawężonym zakresie, a więc dotyczy tylko wybranych sfer działania systemów komputerowych (aczkolwiek w raporcie winny się również znaleźć informacje na temat wad odkrytych w innych zakresach działania systemu).

• Kontrola danych archiwalnych (w miarę dostępności) ma potwierdzić, iż wewnętrzne systemy kontroli i reagowania w firmie działają poprawnie. Gdyby było inaczej, byłby to błąd do naprawienia w pierwszej kolejności, gdyż przy braku mechanizmów reakcji nie można mówić o usuwaniu dalszych usterek. Mimo że ten obszar audytu jest często bagatelizowany, zwykle już na tym etapie audytorzy wskazują mniejsze lub większe uchybienia.
• Ocena integralności i poprawności danych. Audytorzy kontrolują integralność danych przetwarzanych w systemach informatycznych oraz weryfikują ich poprawność. Ma to na celu wykrycie ewentualnych błędów sprzętu, które wpływają na możliwość odczytu danych lub ich jakość. Metody badawcze oraz forma prezentacji wyników w tym przypadku bardzo mocno zależą od typu przechowywanych danych.
• Ocena wykonania celów organizacji. Audyt przeprowadza się zawsze z uwagi na pewne cele taktyczne i strategiczne. Sam fakt, że system informatyczny działa, nie oznacza braku problemów – musi działać z maksymalną efektywnością, jaka jest możliwa przy pewnych założeniach wejściowych wynikających z określonych celów organizacji. Audytorzy weryfikują, czy system działa efektywnie w kontekście tych właśnie celów, co oznacza, że identycznie skonfigurowany system w dwóch różnych organizacjach może zostać odmiennie oceniony i nie będzie to zasadniczo błędem.

Audyt przeprowadza się na polecenie zarządcy systemu informatycznego lub jego administratora, a podstawą do analizy jest lista pytań lub wymagań przedstawiona audytorom, a także – i to jako wymóg podstawowy – lista kontrola powiązana z określoną normą dotyczącą:

• zarządzania procesami IT (ISO 20000/ COBIT);
• zarządzania jakością (ISO 9001);
• bezpieczeństwa (ISO/IEC 27001, PCI DSS, FIPS).

Sam przebieg audytu regulowany jest normą ISO/IEC 19011:2002.

Zaufaj specjalistom w zakresie audytu informatycznego

Dopiero przegląd systemu informatycznego przez niezależnego audytora daje pewne podstawy do wyciągania wniosków odnośnie do modyfikacji, modernizacji lub zmiany organizacji systemu. Przy przeprowadzaniu kontroli wewnętrznych istnieje bowiem ryzyko zafałszowania uzyskanych informacji nie tylko w wyniku celowego działania, ale wadliwości samych procesów kontrolnych (sprawdzanych również w czasie pełnego audytu).

Audytor musi legitymować się jednym z kilku certyfikatów, które zaświadczają, że ma odpowiednie kwalifikacje. Dziś najczęściej jest to CISA wydany przez ISACA. Sam certyfikat to jednak zbyt mało – potrzebne jest jeszcze realne doświadczenie i dlatego też warto wybrać Morele.net, firmę o wieloletnim doświadczeniu w doradztwie, dostarczaniu i kontroli systemów oraz podzespołów komputerowych.

Dowiedz się więcej o audycie informatycznym z morele.net