IT-auditor als seizoensarbeider

De IT-auditor beleeft een soort seizoenencyclus met de diverse audits die door het jaar heen aan bod komen. Denk aan ENSIA, DigiD en VIPP-audits. Carline Jeninga Hollemans licht haar ervaringen toe met de ”seizoenen” als IT-auditor.

In het vierde kwartaal starten de ENSIA-audits. Omdat ik tegen het einde van het jaar van werkgever ging wisselen, heb ik zelf geen ENSIA-audits opgestart. Vanaf januari barst het DigiD-assessmentseizoen los. Direct bij de start bij mijn nieuwe werkgever werd ik hier ook in ondergedompeld. Nu is een DigiD-assessment niet nieuw voor me, maar ik kreeg wel nieuwe klanten, en er lag een nieuw normenkader (2.0). En dat heb ik geweten…

De meeste klanten moesten behoorlijk wennen aan het nieuwe normenkader. Het oude normenkader zat er goed in, en gelukkig zijn een aantal normen hetzelfde gebleven. Een aantal nieuwe normen roept dan ook veel vragen op. Vooral de normen die met een pentest getoetst moeten worden, bleken lastige gevallen. Er waren maar weinig klanten waarbij alle normen in de eerste ronde voldeden. De rest mocht allemaal op voor de hertest, ronde 2. En ook hier bleken niet alle klanten in staat om de bevindingen op tijd te fixen. Vanaf mei druppelden de eerste brieven van Logius binnen bij de klanten, en werd er gevraagd om een verbeterplan. Afgekeurde normen met een oplostermijn van twee maanden blijken een race tegen de klok te worden om toch op tijd gefixt te worden én een hertest (ronde 3) te krijgen. Het DigiD-seizoen loopt dus nog ver door na mei. De verwachting is dat we rond oktober de hertesten wel uitgevoerd zullen hebben, en de klanten kunnen voorzien van een nieuw (en hopelijk groen) rapport.

 

Verder lezen bij de bron

IB&P

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Nieuwsbrief

Deze versturen we 3-4x per jaar.

Recente blogs

Het belang van patchmanagement
Als we het hebben over informatiebeveiliging, komen de termen patches en patchmanagementproces vaak voorbij. Maar wat betekenen deze termen nu eigenlijk? Waarom is patchmanagement zo belangrijk? En hoe richt je zo’n proces dan in? In deze blog lees je hoe je hier zelf mee aan de slag kan.
De AVG versus de Wet politiegegevens (Wpg)
: Naast de AVG hebben politie en justitie te maken met de Wet politiegegevens (Wpg). Maar ook als gemeente heb je te maken met de Wpg, namelijk bij het werk van Buitengewoon opsporingsambtenaren (Boa’s). In deze blog leggen we uit hoe de AVG en Wpg van toepassing zijn op het werk van Boa’s en waar je als gemeente aan moet voldoen bij het verwerken van gegevens.
Implementatie van BCM – voorkomen is beter dan genezen
Om te voorkomen dat je kritische bedrijfsprocessen stilvallen, is het slim om potentiële bedreigingen vroegtijdig in kaart te brengen en een inschatting te maken van het effect van elke bedreiging op deze kritische processen. Dit proces noemen we ook wel Bedrijfs Continuïteits Management (BCM) of Bedrijfscontinuïteit. Maar hoe ga je hier mee aan de slag?

Meer recente berichten

Datahonger Chinese overheid groter dan gedacht
Verder lezen
Zwak beleid veroorzaakt cyberaanval op gemeente Buren
Verder lezen
Aanpak digitale veiligheid Gelderse gemeenten gelanceerd
Verder lezen
NSO Group: Ten minste vijf Europese landen gebruiken Pegasus
Verder lezen
Microsoft stopt met gezichtsherkenningsanalyse wegens privacyzorgen
Verder lezen
CISO Rijk Aart Jochem: Sturen op informatiebeveiliging
Verder lezen
NCSC geeft tips over response bij ransomware aanval
Verder lezen
Twee derde Nederlanders vreest inperking privacy met invoering EU wallet
Verder lezen
Noordenvelders geven meer prioriteit aan privacy
Verder lezen
Gemeenten: groot verschil tussen fysieke en digitale veiligheid
Verder lezen