Il recente articolo Wired In primo luogo giuridica, i dati-Violazione Suit Obiettivi revisoredescritto come una carta di credito aziendale è citare la società che performedtheir controllo di sicurezza. Il problema è che la carta di credito, società che si è wastold CISP (Titolare Information Security Program) compatibile, quando in realtà non lo era. Per visa.com, "CISP è destinato a proteggere i dati della carta Visa-ovunque-itresides assicurare che i membri, i commercianti, e il più alto servizio providersmaintain informazioni standard di sicurezza" (CISP ha sincebeen sostituito dal PCI (Payment Card Industry) standard.) Thelawsuit è stata innescata dalla 263.000 furto di numeri di carta di carta da thecredit società. Pertanto, se l'attore eraveramente CISP-compatibile, non significa che non c'è modo si è verificato il furto wouldhave? è stata la carta di credito, società cullati in un falso senseof di sicurezza a causa della falsa CISP certificazione?

Ci sono due lati di questo:

• Thecredit carta di valere la società di revisione (forse troppo) per dire loro se fossero CISP compatibile o meno, e di consigliare loro onhow per rendere sicuri i loro sistemi da furto
• Il auditingcompany fatto un accordo con il cliente in modo adeguato riesame theirsystems per le possibili minacce (compreso il numero della carta furto), makerecommendations, e usare il CISP requisiti come parametro.

Sowho non qui? La società di revisione possono essere resi colpevoli di false advertingand sotto-esecuzione del contratto. La carta di credito può beguilty di non aver adeguato in casa il personale di sicurezza per mantenere theirsystems sicura. In ogni caso, saranno fissati precedente se è effettivamente determinedthat il fasullo CISP rating da parte della società di revisione contributedto l'incidente di sicurezza.

È questo tipo di caso, buona o cattiva per la certificazione della sicurezza industria? Forse bene, perché:

• Certificazione emittenti sarà ricordato il costo potenziale di premiare una certificazione di un malato candidati qualificati
• Companiesholding dati sensibili devono prendere possesso della loro sicurezza, e notrely troppo esterni alle organizzazioni di gestire la cosa per loro
• E 'una sveglia per tutti gli interessati

Credo che la carta di credito aziendale è responsabile. Ma, come citato in Wired articolo, "... c'è bisogno di essere mechanismsdeveloped tenere revisori responsabili per l'accuratezza del theiraudits". Vero. Perché un reciproco obbligo di dimostrare qualityexists tra il certificato emittente e titolare del certificato, onerepresents per gli altri. E siamo tutti responsabili professionalmente - andsoon, forse anche legalmente.




Maggiori informazioni ...