TFL Vsebine / Revija SIR*IUS

Auditing User Access Privileges Part One

Dostop do informacijskih virov je ključni pogoj za učinkovito delo. Ker pa informacijski viri organizacij pogosto vključujejo osebne in druge zaupne podatke, morajo biti dostopi do njih omejeni skladno z zakonskimi zahtevami in dobrimi praksami varovanja informacij. Usklajevanje nasprotujočih si zahtev učinkovitosti in varovanja informacij je lahko zelo kompleksno. Revizorji lahko pri reviziji dostopnih pravic uporabijo najrazličnejše načine. V prispevku Revizija dostopnih pravic predlagamo možen praktični pristop k reviziji. Pri tem se osredotočamo na notranjerevizijski vidik izvajanja tovrstnega posla, seveda pa ga je mogoče izvesti tudi kot revizijo informacijskih sistemov. Prispevek smo zasnovali tako, da v prvem delu pojasnjujemo temeljne pojme s področja dostopnih pravic z vidika njihovega pomena v kontekstu notranjerevizijskega ali IT-revizijskega pregleda dostopnih pravic. V drugem delu prispevka, ki ga bomo objavili v naslednji številki SIR*IUS-a, pa predlagamo načrtovanje in izvedbo takega posla.

Access to information resources is a key prerequisite for effective work. However, since organizations' information sources often include personal and other confidential data, access to them must be restricted in accordance with legal requirements and good information security practices. Reconciling the conflicting requirements of efficiency and information security can be very complex. Auditors can use a variety of methods to audit access privileges. In this article, we propose a viable practical approach to auditing user access privileges. In doing so, we focus on the internal audit aspect of conducting such an engagement, but of course, it can also be performed as an audit of information systems. The first part of the paper is designed to explain the basic concepts of access privileges in terms of their importance in the context of an internal audit or IT audit of access rights. In the second part of the paper, which will be published in the next issue of SIR*IUS, we propose how to plan and execute such an engagement.