Beveiliging

Redactioneel
Ir. P. Kornelisse RE CISA
De IT-auditor wordt geacht een brede kennis van en ervaring op een verscheidenheid van aspecten betreffende informatietechnologie (IT) te hebben. In de praktijk herkennen wij nogal eens dat technische aspecten van IT beheersmatig worden geadresseerd, terwijl de wezenlijke risico's daarmee niet altijd op passende wijze aan de orde worden gesteld. Hier liggen dan ook kansen voor de (technisch) IT-auditor om toegevoegde waarde te leveren, aan alle onderdelen van een organisatie. Vanuit de praktijk weten wij dat een IT-auditor gedurende bijna elke audit wel zaken aantreft die noemenswaardig zijn als risico. Het is daarom aan de technisch IT-auditor om niet alleen [lees verder]

Informatiebeveiliging versus SaaS
Drs. W.S. Chung
'Software-as-a-Service' (SaaS) is één van de snelst groeiende sourcingmodellen en is door Gartner benoemd als hét model voor 2009. Naast een client-demand voor deze ontwikkeling zullen met name de grote investeringen van softwareleveranciers zorgen voor een technology push op dit gebied. In dit artikel wordt ingegaan op de kansen en risico's die bij het gebruik van SaaS een belangrijke rol spelen.

RFID, fysieke beveiliging en de IT-auditor
J. van Beek MSc CISSP CISA RE en Drs. J.G. IJkel RE CISSP CISA
Tegenwoordig maken veel toegangssystemen tot gebouwen en ruimten gebruik van draadloze chips in de vorm van een toegangspas. Vanuit een parkeergarage via de ingang naar de computerruimten, in veel gevallen is er geen fysieke sleutel meer nodig. Maar hoe werken de toegangspassen precies? Zijn deze systemen veilig? Of ontkomen ook toegangsdeuren tegenwoordig niet meer aan hackers?

Authenticatiemanagement: een procesbenadering
Ir. ing. J.J.C. Steevens en M.J.J. de Boer MSc
Het belang van authenticatiemanagement is groot. Veel organisaties beseffen niet dat wanneer authenticatiemanagement niet goed is ingericht, begrippen als functiescheidingen en need-to-know slechts een wankele basis kennen. De auteurs beschrijven een praktische aanpak voor de inrichting van authenticatiemanagement, waarbij rekening wordt gehouden met de nieuwste ontwikkelingen binnen het vakgebied.

Beveiliging van industriële IT-omgevingen
Drs. J.G. IJkel RE CISSP CISA en Ir. R. Heil CISSP CISA
Sinds lange tijd wordt aandacht besteed aan beveiliging van IT-omgevingen zoals deze in de kantooromgeving wordt gebruikt en van belang is voor de jaarrekening. De beveiliging van industriële IT-omgevingen is echter een onderwerp dat niet vaak ter sprake komt, terwijl de status van beveiliging van die omgevingen voor zowel mens als onderneming van groot belang is.

Alternate Data Streams
Het verbergen van malware via een verborgen 'feature' van NTFS
Ir. M. Paques
Windows maakt vanaf Windows NT gebruik van het NTFS-bestandssysteem voor het bewaren van bestanden. Dit systeem biedt de mogelijkheid meerdere 'data streams' op te nemen in één bestand, een concept dat wordt aangeduid met Alternate Data Streams (ADS). ADS biedt echter een mogelijkheid om kwaadaardige software (malware) als virussen en spyware op het systeem te verbergen, waardoor deze zonder speciale tools vrijwel niet kunnen worden gedetecteerd.

SABA: IT-audit tooling 2.0
M.R.A.M. Smeets MSc
Bij de ondersteuning van IT-audits maken auditors graag gebruik van tooling om op een efficiënte wijze informatie te krijgen over IT-systemen. Door de jaren heen is het gebruik van dergelijke tooling toegenomen. Daarmee is ook de vraag naar slimmere en uitgebreidere tooling ontstaan. Om aan deze vraag te kunnen voldoen heeft KPMG een nieuwe generatie tooling ontwikkeld: SABA.

KPMG's Identity and Access Management Survey 2008
Ing. J.A.M. Hermans RE, P.E. van der Hulst, P. Ceelen MSc en G. van Gestel MSc
Het beheren van digitale identiteiten en de toegang tot informatie binnen een organisatie levert een steeds grotere uitdaging op voor organisaties. De afgelopen jaren is er veel gesproken en geschreven over Identity and Access Management. Dit artikel geeft inzicht in de actuele status van IAM: Waar staan organisaties nu? Wat zijn de ambities ten aanzien van IAM en hoe willen organisaties deze ambities waarmaken?