Audyt systemu IT – w jakim zakresie i dlaczego go przeprowadzać

Audyt systemu IT, jak już wskazano nie jest obligatoryjny. Niemniej jednak jego przeprowadzenie jest zalecane w kontekście obowiązku przeprowadzania ogólnej analizy ryzyka. Można sformułować 5 celów audytu. Otóż ma on służyć:

1. przeanalizowaniu, jakie oprogramowanie wykorzystuje administrator do przetwarzania danych i czy jest to oprogramowanie z ważnymi umowami licencyjnymi;

2. analizie luk w zabezpieczeniach oprogramowania prowadzących do ryzyka wycieku danych osobowych; chodzi tu nie tyle o luki w oprogramowaniu (wówczas audyt miałby charakter działań z zakresu informatyki śledczej, a to zupełnie inne koszty i zakres prac), ile o wskazanie, co w korzystaniu z oprogramowania można poprawić (np. że należy zmienić funkcję automatycznego tworzenia kopii zapasowej, tak aby kopia ta była tworzona częściej);

3. ocenie skuteczności stosowanych zabezpieczeń technicznych (np. antywirusów, firewalli, IDS) i ich adekwatności do kategorii i ilości przetwarzanych danych osobowych;

4. wskazaniu źródeł potencjalnych zagrożeń wycieku danych: brak zabezpieczeń fizycznych serwerów, niewystarczająca kontrola dostępu do infrastruktury sieciowej IT, osoby trzecie mające dostęp do sprzętu i oprogramowania (np. serwisanci), sposób pracy pracownika (np. notoryczne pozostawianie pendrive’a bez opieki na biurku w salonie sprzedaży, gdzie są klienci);

5. poinformowaniu audytowanego o najlepszych obecnie praktykach IT – zwłaszcza jeżeli ich zastosowanie w danej sytuacji audytor uważa za wysoce wskazane.

Przepisy nie regulują też treści dokumentacji audytowej. Niemniej jednak z uwagi na regułę rozliczalności (art. 5 RODO) oczywiste jest, że przeprowadzenie audytu należy udokumentować np. raportem. Dokument taki może zawierać

• opis stanu prawnego obowiązującego u administratora, w tym lista regulacji wewnętrznych wraz z oznaczeniem ich wersji,

• opis zastanego stanu faktycznego w zakresie systemów IT,

• wnioski po audycie.

W praktyce odpowiednio przeprowadzony audyt powinien objąć nie tylko sam system IT ale także urządzenia ale i sam personel administratora.