NOREA-groepen stellen zich voor

Kennisgroep Robotic Process Automation (RPA)

(Publicatiedatum: 19 november 2021) Sinds enkele jaren is ‘robotics’ een van de innovatie-buzzwoorden. Veel mensen denken bij robotics aan een fysieke robot, die steeds meer op de mens lijkt, tot en met de gelaatsuitdrukking. Maar daar is bij Robotic Process Automation (RPA) geen sprake van, zie hierna. Als kennisgroep Robotic Process Automation zoeken wij antwoorden…

Anti-witwastechnologie: waar de IT-auditor en compliance officer elkaar treffen

(Publicatiedatum: 15 november 2021) De compliance officer en de IT-auditor hebben elkaar nodig in de dynamische, complexe en sterk ICT-gedreven wereld van het anti-witwassen (AML). De Financial Action Task Force on money laundering (FATF) heeft een inspirerende inventarisatie opgesteld om dergelijke multidisciplinaire teams op de toekomst voor te bereiden: ‘Stocktake on data pooling, collaborative analytics…

Negen aanbevelingen

Ransomware en de rol van een IT-Auditor

(Publicatiedatum: 11 november 2021) Ransomwareaanvallen zijn met een snelle opmars bezig en staan internationaal inmiddels op de tweede plaats in de ranglijst van cyberbedreigingen. IT-auditors kunnen veel betekenen voor organisaties om ransomware-risico’s te mitigeren. Dit artikel geeft hiervoor een aantal handvatten en doet negen concrete aanbevelingen. Ransomware is een type malware die bestanden en systemen…

Gegevensbescherming in cloud-omgevingen: encryptie- en sleutelbeheer

(Publicatiedatum: 8 oktober 2021) De revolutionaire ontwikkeling van cloud computing zou een enorme mislukking worden zonder voldoende activiteiten in de sfeer van beveiliging en privacybescherming, zoals encryptie- en sleutelbeheer. [SHAH 14] Cloud service users (hierna ‘users’) en IT-auditors besteden daar niet altijd genoeg aandacht aan. Er is dan ook een grotere rol voor de IT-auditors…

Testen we nog general IT controls bij het toepassen data-analyse?

(Publicatiedatum: 4 oktober 2021) Van oudsher hechten we groot belang aan het testen van de general IT controls om tot een oordeel over de jaarrekening te komen. Dit artikel behandelt de vraag of dit nog wel altijd nodig is, gegeven de groeiende nadruk op datagedreven audits. Een datagedreven auditaanpak krijgt een steeds belangrijkere rol in…

Opinie: Het politieke spel van het verbergen van rechten

Spanningsvelden bij het oplossen van kritische rechten

(Publicatiedatum: 14 september 2021) Bedrijven met ERP-software bepalen aan de hand van functieprofielen welke rechten hun medewerkers krijgen. Daarbij moeten medewerkers niet te veel kritische rechten of combinaties van rechten krijgen die samen een functiescheidingsconflict opleveren: een segregation of duties (SoD)-conflict. Het verstrekken van deze rechten kan door de complexiteit van het systeem gemakkelijk doorschieten…

De mens als sleutel tot effectieve informatiebeveiliging

(Publicatiedatum: 6 september 2021) Nagenoeg alle securityprofessionals zullen het beamen: de medewerkers vormen het grootste risico op security-incidenten voor de organisatie en daarmee is risicobewustzijn met betrekking tot informatie belangrijker dan ooit. Toch is security awareness vaak onderbelicht en tamelijk onvolwassen, en daardoor zijn de meeste security awareness-programma’s niet effectief. Sterker: de meeste securitystrategieën zijn…

Thinking outside-the-black-box

Algoritme en audit

(Publicatiedatum: 22 juli 2021) Sinds enkele jaren verschijnen regelmatig publicaties over algoritmes en audit. Er bestaat echter nog geen breed geaccepteerde en concrete aanpak voor deze categorie van audits. In dit artikel willen wij bijdragen aan de discussie op dit terrein door te delen hoe wij tot een algemeen bruikbaar raamwerk zijn gekomen. In de…

Serieus nemen en serieus genomen worden

(Publicatiedatum: 10 juni 2021) Auditing is een ernstig beroep. Wat we doen als auditor is belangrijk, maar het is wel jammer dat door de nadruk op deze ernst er vaak niet veel te lachen valt. De vraag dringt zich op of we door toenemende professionalisering en het streven naar betere beheersing niet iets waardevols zijn…

Terugblik informatieve avond quantumcomputing

(Publicatiedatum: 10 juni 2021) Op 12 mei organiseerde de NOREA-regio Apeldoorn een avond over quantumcomputing. Maran van Heesch, scientific consultant bij TNO met een sterke focus op toegepaste cryptografie en quantumapplicaties, presenteerde het belang van kennis over quantumcomputing voor auditors. Nederland is een land dat de komende jaren sterk in quantumtechnologie gaat investeren en daarbij…

Lessen uit een praktijkonderzoek

DevOps in control

Dit artikel beschrijft de observaties, aanbevelingen en conclusies uit een afgerond praktijkonderzoek naar de toepassing van het DevOps controleraamwerk van de NOREA-kennisgroep Software Development. [GANG19] Het onderzoek is uitgevoerd bij en in opdracht van Schuberg Philis, een IT-organisatie die volledig met zelfsturende teams werkt volgens de agile- en DevOps-werkwijzen. Deze bijdrage is gebaseerd op onze…

DDoS-Aanvallen en rol van Interne Audit Functie

Distributed denial of service (DDoS) is een vorm van DoS waarbij een bepaalde dienst (bijvoorbeeld een website) niet beschikbaar wordt gemaakt door deze te bestoken met veel netwerkverkeer vanuit een groot aantal verschillende bronnen (‘distributed’). [NCTV20] Het resultaat is dat deze diensten slecht of helemaal niet meer bereikbaar zijn voor medewerkers of klanten van een…