Sinds jaar en dag worden audits uitgevoerd door accountantskantoren. De vraag is echter of zij daar altijd wel de meest aangewezen partij voor zijn.

Een paar jaar geleden kwam ik voor de eerste keer in aanraking met een Sarbanes Oxley audit. Het ene accountantskantoor deed de begeleiding en het andere zou de SOX-audit uitvoeren. Mijn werkgever voerde het ICT-beheer uit en ik begeleidde dat traject vanuit security-oogpunt. Na een controle aan de hand van een standaard checklist deden de accountantskantoren wat kleine aanbevelingen, maar keurden alles wel goed. Dat verwonderde mij, omdat in mijn zelfstandig uitgevoerde security audit naar voren was gekomen dat de financiële applicaties, draaiende op een AS 400, zonder authentificatie konden worden benaderd. Huh, het doel van Sarbanes Oxley is toch het garanderen van de integriteit van de financiële verslaglegging? Hoe kan die nu worden gegarandeerd als iedereen in die organisatie via de computer de mogelijkheid heeft de financiële verslaglegging in te zien én te veranderen?

De account auditor had echter geconstateerd dat de toegang tot Windows was voorzien van een goede authentificatie. Hij keek niet verder dan zijn spreekwoordelijke neus lang was. Hij wist domweg niet dat je ook zonder aan te loggen in Windows bij de financiële informatie kon komen, noch dat de terminal emulatiesoftware voor de AS 400 geen enkele authentificatie nodig had.

Vanaf dat moment ben ik er eens goed op gaan letten. En u raadt het al, ik ben nog veel gevallen tegengekomen waarin auditors zonder technische achtergrond niet in staat waren een adequate beoordeling van technische aspecten te doen. Je kunt die auditors natuurlijk niets kwalijk nemen: de technologische ontwikkelingen gaan zo snel, dat valt niet bij te houden als het niet je vakgebied is. Vanuit technologisch oogpunt is het daarom beter om deze controles te laten uitvoeren door engineers van system integrators. Deze engineers staan nog dagelijks met de ‘voeten in de modder’, kennen alle ins en outs van systemen en weten dus waar ze het over hebben. Maar zouden deze techneuten ook een systematische en betrouwbare audit uit kunnen voeren?

Een goede security audit wordt vooraf gegaan door een risico analyse. Op basis van de risico analyse worden de auditnorm en risicogebieden bepaald. De norm bevat een mix aan controlemaatregelen die betrekking hebben op mensen, processen en techniek. System integrators die enkel verstand hebben van techniek, zullen geen risico analyse uitvoeren en hebben geen kaas gegeten van de categorieën ‘mensen’ en ‘processen’. Daardoor zijn ze niet in staat een complete en betrouwbare security audit uit te voeren. Als behalve accountantskantoren ook de pure system integrators niet in staat zijn tot een goede security audit, wie is dat dan wel? Een goede vraag.

Er zijn maar heel weinig specialisten die verstand hebben van enerzijds de technologie en anderzijds de procesmatige en vaak menselijke kant. Security audits vereisen een cross-domain aanpak. De bedrijven die kennis hebben van risico analyses én in staat zijn technische aspecten te combineren met de tactische en strategische processen, zijn uiteindelijk het best geëquipeerd om security audits uit te voeren.

We leven echter in een vrij land, waar klanten vrij zijn de auditor te kiezen die zij menen te moeten kiezen. Maar zegt u nu zelf: in welk type auditor heeft u zelf het meeste vertrouwen?

Door Wilbert Pijnenburg information security consultant bij Telindus (wilbert.pijnenburg(at)telindus.nl).