Response from the Department of Pre

Response from the Department of Premier and Cabinet

Thank you for the opportunity to respond to your performance audit conducted on whole of Government electronic information security.

The Audit and its findings are both a relevant and timely contribution to the current initiatives and actions already being taken involving the review and revision of the Government’s Information and Communication Technology (ICT) policy and forward strategy.

There is no question about the importance of good information security management to the NSW Government, and that there are significant potential risks to be managed, and significant potential costs from information security breaches.

It should be noted that the performance audit has not identified any systemic information security problems within the NSW Government. There is nevertheless the need to properly manage information security risks, and consider future risks and possible problems.

To this end, the existing Government policy on the security of electronic information as provided for in Ministerial Memorandum M2007-04 is now being reconsidered. This includes specifically the appropriateness of the currently mandated requirements for compliance certification. As the Audit notes there are opportunities to achieve greater consistency in implementation throughout the sector.

The Government already has in place a range of mechanisms directed toward the identification and management of information security risks. This includes legislation governing privacy, corruption and financial and records management, as well as NSW Treasury requirements in relation to audit, risk and asset management, procurement, financial management and annual reporting.

Notwithstanding these requirements, the Audit recommends establishing minimum standards and requirements for consistent processes to manage and information assurance risks, as well as strengthening accountability through improved scrutiny and transparency. These initiatives are supported, subject to the outcome of the reforms currently under consideration by Government.

It is pleasing that the Audit has reported that a number of the current key initiatives being implemented within the NSW public sector including the recent agency amalgamations, corporate and shared service reforms and current high level review of ICT strategy and governance are conducive to consolidated whole of government effort and the opportunity for better security of electronic information.

The need to maintain the integrity of information security outcomes is not in dispute, the need to mandate certification requirements remains a contestable strategy. It may be preferable to require agencies to implement information security management systems consistent with international industry standards.



All agencies are required to comply with the Government’s Internal Audit and Risk Management Policy for the NSW Public Sector. The Treasury Policy provides a general framework for applying and auditing risk management – Treasury Circular TC 09/08 and Treasury Policy & Guidelines Paper TPP09-5.

The findings of the performance audit and recommendations arising will be referred for consideration in the current Government review of ICT Strategy.




(signed)

Brendan O’Reilly
Director General

Kết quả (Việt) 1:

Các phản ứng từ vùng thủ tướng và nội cácCảm ơn bạn cho cơ hội để đáp ứng với kiểm tra hiệu suất của bạn tiến hành trên toàn bộ chính phủ thông tin điện tử bảo mật.Kiểm toán và những phát hiện của nó là cả một đóng góp có liên quan và kịp thời cho các sáng kiến hiện tại và hành động đã thực hiện liên quan đến việc xem xét và sửa đổi thông tin và công nghệ truyền thông (ICT) chính sách của chính phủ và chiến lược về phía trước.Có là không có câu hỏi về tầm quan trọng của quản lý an ninh thông tin tốt để chính phủ NSW, và rằng có những rủi ro tiềm năng đáng kể để được quản lý, và chi phí tiềm năng đáng kể từ thông tin bảo mật vi phạm.Cần lưu ý rằng kiểm toán hiệu suất chưa xác định bất kỳ vấn đề bảo mật hệ thống thông tin trong chính phủ NSW. Tuy nhiên là sự cần thiết phải đúng cách quản lý rủi ro bảo mật thông tin, và xem xét các rủi ro trong tương lai và các vấn đề có thể.Để kết thúc này, chính sách chính phủ hiện tại về an ninh thông tin điện tử như được cung cấp trong bộ biên bản ghi nhớ M2007-04 bây giờ đang được xem xét lại. Điều này bao gồm đặc biệt thích hợp của các yêu cầu hiện nay bắt buộc tuân thủ xác nhận. Như các kiểm toán ghi chú có là cơ hội để đạt được sự nhất quán lớn trong việc thực hiện trong suốt khu vực.The Government already has in place a range of mechanisms directed toward the identification and management of information security risks. This includes legislation governing privacy, corruption and financial and records management, as well as NSW Treasury requirements in relation to audit, risk and asset management, procurement, financial management and annual reporting.Notwithstanding these requirements, the Audit recommends establishing minimum standards and requirements for consistent processes to manage and information assurance risks, as well as strengthening accountability through improved scrutiny and transparency. These initiatives are supported, subject to the outcome of the reforms currently under consideration by Government.It is pleasing that the Audit has reported that a number of the current key initiatives being implemented within the NSW public sector including the recent agency amalgamations, corporate and shared service reforms and current high level review of ICT strategy and governance are conducive to consolidated whole of government effort and the opportunity for better security of electronic information.The need to maintain the integrity of information security outcomes is not in dispute, the need to mandate certification requirements remains a contestable strategy. It may be preferable to require agencies to implement information security management systems consistent with international industry standards. All agencies are required to comply with the Government’s Internal Audit and Risk Management Policy for the NSW Public Sector. The Treasury Policy provides a general framework for applying and auditing risk management – Treasury Circular TC 09/08 and Treasury Policy & Guidelines Paper TPP09-5.The findings of the performance audit and recommendations arising will be referred for consideration in the current Government review of ICT Strategy.(signed)Brendan O’ReillyDirector General

Kết quả (Việt) 2:

Phản hồi từ Sở Premier và Nội Cảm ơn bạn đã có cơ hội để đối phó với kiểm toán hoạt động của bạn được tiến hành trên toàn bộ Chính phủ bảo mật thông tin điện tử. Các kiểm toán và kết quả của nó là cả một sự đóng góp có liên quan và kịp thời cho các sáng kiến hiện tại và hành động đã được thực hiện liên quan đến việc rà soát, sửa đổi Thông tin và Truyền thông Công nghệ (ICT) chính sách của Chính phủ và chiến lược về phía trước. Không có câu hỏi về tầm quan trọng của quản lý an ninh thông tin tốt để Chính phủ NSW, và rằng có những rủi ro đáng kể tiềm năng phải được quản lý, và tiềm năng đáng kể chi phí từ vi phạm an ninh thông tin. Cần lưu ý rằng các kiểm toán hiệu suất đã không xác định bất kỳ vấn đề bảo mật thông tin hệ thống trong chính phủ NSW. Tuy nhiên có sự cần thiết để quản lý đúng mức rủi ro an ninh thông tin, và xem xét rủi ro trong tương lai và các vấn đề có thể. Để kết thúc này, các chính sách của Chính phủ hiện hành về bảo mật thông tin điện tử theo quy định tại Bộ trưởng ghi nhớ M2007-04 hiện đang được xem xét lại. Điều này bao gồm đặc tính phù hợp của các yêu cầu hiện uỷ quyền cấp giấy chứng nhận tuân thủ. Như Kiểm toán lưu ý có những cơ hội để đạt được tính thống nhất trong việc thực hiện trong toàn ngành. Chính phủ đã có sẵn một loạt các cơ chế hướng về việc xác định và quản lý rủi ro an ninh thông tin. Điều này bao gồm quản mật pháp luật, tham nhũng và quản lý tài chính và hồ sơ, cũng như yêu cầu Kho bạc NSW liên quan đến kiểm toán, rủi ro và quản lý tài sản, mua sắm, quản lý tài chính và báo cáo hàng năm. Mặc dù có những yêu cầu, Kiểm toán đề nghị thiết lập các tiêu chuẩn tối thiểu và yêu cầu đối với quy trình phù hợp để quản lý và đảm bảo rủi ro thông tin, cũng như tăng cường trách nhiệm giải trình thông qua cải thiện kiểm soát và minh bạch. Những sáng kiến này được hỗ trợ, tùy thuộc vào kết quả của các cuộc cải cách đang được xem xét bởi Chính phủ. Đó là lòng rằng Kiểm toán đã báo cáo rằng một số trong những sáng kiến quan trọng hiện nay đang được thực hiện trong các lĩnh vực công cộng NSW bao gồm các hiệp lực cơ quan gần đây, công ty và chia sẻ cải cách dịch vụ và xem xét mức độ cao hiện tại của chiến lược và quản trị công nghệ thông tin có lợi cho toàn bộ hợp nhất của nỗ lực của chính phủ và các cơ hội cho bảo mật tốt hơn thông tin điện tử. Sự cần thiết để duy trì tính toàn vẹn của kết quả bảo mật thông tin không có tranh chấp, sự cần thiết phải uỷ quyền cấp giấy chứng nhận yêu cầu vẫn còn là một chiến lược có thể bắt bẻ. Nó có thể là thích hợp hơn để yêu cầu các cơ quan để thực hiện hệ thống quản lý an ninh thông tin phù hợp với tiêu chuẩn công nghiệp quốc tế. Tất cả các cơ quan được yêu cầu phải tuân thủ Kiểm toán nội bộ của Chính phủ và chính sách quản lý rủi ro cho khu vực công NSW. Chính sách Kho bạc cung cấp một khuôn khổ chung cho việc áp dụng và quản lý rủi ro, kiểm toán -. Kho bạc Thông tư TC 09/08 và Chính sách Tài chính & Hướng dẫn giấy TPP09-5 Những phát hiện của kiểm toán hoạt động và khuyến nghị phát sinh sẽ được giới thiệu để xem xét trong việc xem xét Chính phủ hiện tại của ICT Strategy. (đã ký) Brendan O'Reilly Tổng Giám đốc