Risico’s van een gevirtualiseerde IT-omgeving

Possen & UlrichRisico’s van een gevirtualiseerde IT-omgeving---------------------------------------------------------------------------------------------------------------------------“Beschikbaarheid refereert aan informatie die beschikbaar is wanneer dit gevraagd wordt in hetbedrijfsproces nu en in de toekomst. Het refereert ook aan de bescherming van de benodigdemiddelen en daaraan gerelateerde mogelijkheden.”De definitie van CobiT is duidelijk breder dan de definitie zoals gehanteerd door het handboek EDPauditing.Binnen CobiT wordt ook op de continuïteit van beschikbaarheid gedoeld en raakt daarmeeprocessen als continuïteitsmanagement. Binnen dit onderzoek zal de definitie van CobiT wordengehanteerd.3.1.2 IntegriteitIn het handboek EDP-auditing (1999) wordt het kenmerk integriteit beschreven als de zekerheid ofbetrouwbaarheid van de informatievoorziening in organisaties. De integriteit van deinformatievoorziening bestaat uit drie onderdelen. De data (stamgegevens), transacties en parametersin de databases en de formules en rekenregels in de programmatuur. Integriteit wordt door CobiT(ITGI, 2007) als volgt beschreven;“Integriteit refereert aan de nauwkeurigheid en volledigheid van informatie en tevens aan degeldigheid van de informatie in relatie met bedrijfswaarden en verwachtingen.”3.1.3 VertrouwelijkheidMet vertrouwelijkheid van de informatievoorziening wordt de beperking van bevoegdheden en demogelijkheden van het raadplegen, wijzigen, afdrukken of kopiëren van gegevens tot eengeautoriseerde groep van gebruikers. Hiermee wordt niet alleen de gegevens in de databases bedoeldmaar ook toegang tot systeemsoftware, applicatiesoftware, etc. (Handboek EDP-auditing, 1999).CobiT (ITGI,2007) beschrijft vertrouwelijkheid als volgt:“Vertrouwelijkheid gaat over de bescherming van gevoelige informatie tegen ongeautoriseerdeopenbaarmaking.”In de definitie van CobiT komt weliswaar niet een expliciete verwijzing voor van de objecten waarvertrouwelijkheid betrekking op heeft, maar binnen het CobiT-raamwerk wordt vertrouwelijkheidgeprojecteerd tegen de objecten: infrastructuur, applicaties, informatie en personen. Een database valthierbij onder het object ‘applicatie’.3.2 IT­ beheersmaatregelraamwerkenVoor het uitvoeren van een audit op een IT-omgeving bestaan verschillende beheersmaatregelraamwerken die zijn op gesteld door verschillende organisaties. Enkele algemeen erkende standaardenzijn ontwikkeld door ISO(International Organization for Standardization), NIST (National Institute ofStandards and Technology), ISF(Information Security Forum) en ISACA (Information Systems Auditand Control Association)(Van der Beek e.a., 2009). Daarnaast hebben de meeste (accountant)organisaties een eigen raamwerk voor het toetsen van de algemene IT-beheersmaatregelen. Vaak zijndeze raamwerken een afgeleide van één of meerdere door o.a. bovengenoemde organisatiesgepubliceerde raamwerken.Hewlett-Packard Development Company (HP) heeft onderzoek gedaan naar de ITbeheersmaatregelendie in binnen een standaard (niet gevirtualiseerd) datacenter audit worden getoetsten de impact van virtualisatie hierop. Door HP worden de volgende drie gebieden onderkend(Baldwin e.a., 2008):• Data Centre Operations, dit gebied omvat de beveiliging van het datacentrum, operationsmanagement, incident en service beheer en continuïteit;• Data Centre Services, dit gebied omvat het beheer van de Active Directory, gebruikersbeheer,beveiliging, back-up en configuratiemanagement;• Servers, dit gebied omvat antivirus maatregelen, patchbeheer, wachtwoordinstellingen,wijzigingsbeheer en capaciteitsbeheer.---------------------------------------------------------------------------------------------------------------------------Pagina 20