16. Audyty bezpieczeństwa - co warto o nich wiedzieć.

Mamy powiedziane np. w normie, że Musi być jakiś proces zarządzania aktualizacjami czy proces zarządzania uprawnieniami. I teraz on może zadać takie pytanie ogólne gdzieś tam podczas jakiejś ankiety czy wywiadu z działem IT. Czy wy taki proces macie i jak ten proces przebiega? Ale w ocenie tego procesu może mu już pomóc ktoś, kto specjalizuje się w danej technologii np. używanej w tej firmie, bo oczywiście każdy z tych Aspektów może być różnie rozwiązany przez różne technologie i nawet osoba techniczna, taki prozaiczny przykład, jest to osoba techniczna, która jest specjalistą na przykład systemów serwerów linuxowych i trafia nagle do środowiska, gdzie wszystko jest zbudowane w oparciu o rozwiązania Microsoftowe, to on może się nie znać na takich technologiach jak SUS, może nie wiedzieć na przykład, że jest coś takiego jak SUS i do czego to służy,

Ktoś powie, że ma proces zarządzany aktualizacjami, że są automatyczne aktualizacje włączone i teraz taki audytor musiałby ocenić, czy to jest w zasadzie wystarczający proces, żeby w audycie zapisać, że jest, czy jednak nie. Zawsze musi być ta dokumentacja. WSUS jest akurat chyba bardzo dobrym przykładem, bo w sumie ktoś może powiedzieć, że mam system aktualizacji zarządzania paczkami, bo mam WSUSa, ale w sumie ktoś, kto się zna na tym wie, że od razu no tak, ale to są tylko Microsoftowe rozwiązania, nie spaczujesz w tym inny aplikacji film trzecich. Poza tym raportowanie też jest dość skomplikowane i też nie wszystko zaraportujesz, ale z drugiej strony audytor, który się nie zna na tym, od razu powinien poprosić o raport, jakie aplikacje zostały zaktualizowane i te raporty.