Eu tenho uma auditoria chegando e fiquei imaginando quais controles de acesso físico, eletrônico e lógico um auditor procuraria ao auditar um banco de dados para um sistema ERP. Sou realmente novo nesse processo e qualquer orientação seria apreciada.
Respostas:
Eu concordo com a resposta de DeCosta. Em quais requisitos e especificações você será auditado? Mas, como minha melhor chance no escuro: Esta é uma publicação de "melhores práticas" para segurança relacionada ao SQL 2005, publicada pela Microsoft
E o artigo online dos livros:
http://msdn.microsoft.com/en-us/library/ms144228.aspx
Além disso, aqui está uma lista de itens que a PricewaterhouseCoopers cobre em seus serviços relacionados a Auditorias de sistemas ERP. Isso pode lhe dar algumas idéias. O menu no lado esquerdo cobre muitos tópicos que podem ser úteis para estimular coisas a serem pesquisadas.
http://www.pwc.com/be/en/systems-process-assurance/erp-security-erp-control.jhtml
Aplaudo o seu esforço, no entanto, a pergunta feita é provavelmente muito vaga. Regras diferentes se aplicam a diferentes setores e, além disso, às vezes você tem a oportunidade de definir suas próprias regras, basta segui-las.
Sugiro verificar com alguém qual auditoria você deve passar e, em seguida, encontrar os requisitos específicos.
Para adicionar aos excelentes links acima; Encontrei os seguintes documentos como referência útil sobre segurança e auditoria:
Um ponto esquecido pelas pessoas acima é sobre identificar exatamente o que você está protegendo - se são dados de cartão de crédito, é fácil perceber que você precisa do PCI-DSS, mas no esquema mais amplo, o PCI-DSS não é realmente tão útil exceto como uma linha de base mínima. Você precisa identificar o que é de valor para sua empresa, seja por razões comerciais ou porque o regulador ou os acionistas o dizem, e garantir que sua auditoria leve isso em consideração.
Eu também sugeriria olhar para security.stackexchange.com , que atende especificamente ao profissional de segurança e risco, e muitos de nós realizamos auditorias de segurança, assistidas na preparação de auditorias, lideramos programas de teste e aprimoramento de segurança em larga escala etc.