AUDITOR-GENERAL’S REPORTPERFORMANCE

AUDITOR-GENERAL’S REPORT
PERFORMANCE AUDIT Electronic Information Security

The Legislative Assembly The Legislative Council Parliament House Parliament House SYDNEY NSW 2000 SYDNEY NSW 2000

In accordance with section 38E of the Public Finance and Audit Act
1983, I present a report titled Electronic Information Security.

Peter Achterstraat
Auditor-General

Sydney
October 2010

State Library of New South Wales cataloguing-in publication data

New South Wales. Audit Office

Electronic information security / [The Audit Office of New South Wales]. (Performance audit).

978 1921252 457

1. Electronic data processing departments – New South Wales – Auditing. 2. Electronic data processing departments – Security measures – New South Wales – Auditing. 3. Computer security – New South Wales – Auditing. 4. Information storage and retrieval systems – Security measures – New South Wales – Auditing.
I. Title: Electronic information security. II. Title: NSW Auditor-General’s report : performance audit : electronic information security. III. Series: Performance audit (New South Wales. Audit Office).

352.379243909944

© Copyright reserved by the Audit Office of New South Wales. All rights reserved. No part of this publication may be reproduced without prior consent of the Audit Office of New South Wales.

The Audit Office does not accept responsibility for loss or damage suffered by any person acting on or refraining from action as a result of any of this material.

Contents

Executive summary 1
Background 2
Audit conclusion 2
Supporting findings 2
Recommendations 4

Key findings 7

1. Why is electronic information security important? 8
2. Is electronic information adequately safeguarded? 12

Appendices 21
Appendix 1 About the audit 22
Appendix 2 Public sector reform initiatives relevant to
Electronic Information Security
24

Performance Audits by the Audit Office of New South Wales 27

Executive summary

Electronic information security 1

Background

The public sector legitimately gathers and uses personal information about citizens, and shares it within and outside government. But personal information can be misused with potentially serious consequences. If the wrong people get access to sensitive personal information an individual can suffer financial loss or damage to their credit rating, have their medical records compromised, or suffer from threats and harassment.

The people of NSW have every right to expect their and their families‟ private details are secure regardless of which government agency holds it. The Government‟s current policy on Security of Electronic Information acknowledges its duty to safeguard its large information holdings and to provide credible assurance that it is doing so. Under the policy, agencies were to establish and maintain an Information Security Management System (ISMS) that complies with the international standard and covers all electronic information. They were to get and keep the main parts of their ISMS, including the parts that hold sensitive private information, certified to that standard. And the Government Chief Information Office (GCIO) was to survey agencies each year and report to Cabinet.

Our audit assesses the extent to which the Government can provide assurance that it is safeguarding its holdings of sensitive personal information. The audit does this by examining how well the Government‟s policy has been implemented.

Audit conclusion

The Government is not able to provide assurance that it is safeguarding its holdings of sensitive personal information because its policy has not been properly implemented. This is likely to remain the case until there are clear, mandatory, minimum standards that agencies sign up to, and scrutiny of performance against these standards is strengthened.

Supporting findings

The Government cannot say with any certainty whether agencies have implemented its policy. As a result, the Government does not know how well agencies are securing sensitive personal information.

Progress toward compliance and certification has not been effectively monitored. There is no centrally held, validated information on which agencies are certified to the standard, whether certification actually encompasses sensitive personal information, or even whether agencies comply with the standard but are yet to be certified. That information which does exist suggests at least two thirds of agencies have not complied with the Government‟s policy.

This is not a new problem. The Government has been issuing edicts about electronic information security for a decade. In 2001, agencies were directed to develop and implement information security policies and have their IT systems certified to the security standard. In 2002, agencies were to report their progress each quarter. In 2004 agencies were told not all had complied, and were directed to adopt an implementation plan by
31 December 2004, with initial certification to be complete by
30 September 2005 and full certification by 30 June 2006.

The current policy followed in 2007. Agencies were again told to get certified to the international standard. But there was no deadline, no effective monitoring, and no consequences if they didn‟t.

There has been an absence of clear direction and strong leadership to ensure that people‟s private details are held securely by all government agencies. No one agency has the authority to lead and oversight electronic information security across the NSW public sector and the teeth to make agencies comply.

A fundamental re-think about electronic information security is needed. Government needs to reform the overall arrangements within which agencies manage information security. If anything, IT security is going to get harder not easier. Technological change is speeding up. The level and sophistication of external threats is increasing. And to improve services efficiently, public sector agencies will need to make more use of the personal data they have and share more data with others.

Current initiatives to rationalise, consolidate and standardise Information and Communication Technology (ICT) systems and infrastructure across the NSW Government present an opportunity to improve electronic information security. As these initiatives are implemented, it should become easier to agree upon and implement common standards and approaches, and to hold agencies accountable for meeting them. But aggregating information and consolidating systems may also increase the risk and consequences of unauthorised access to electronic information. This provides an even stronger imperative to ensure electronic information is adequately protected.

A process to develop a new Government ICT strategy and to review ICT governance arrangements across the sector is underway. It is pleasing that this process includes IT security within its scope, and will cover key issues such as standard-setting, monitoring and accountability. It is important that a new ICT strategy with a strong focus on IT security, and improved IT security governance arrangements, are implemented quickly.

Other jurisdictions are also wrestling with how best to ensure electronic information is adequately safeguarded by individual agencies. Our audit identified some common themes in these jurisdictions around improving and strengthening governance and leadership of electronic information security at the centre of government, in particular:

• establishing core minimum standards and mandatory requirements

• strengthening accountability mechanisms

• enhancing scrutiny and transparency of performance. Our recommendations reflect these themes.

Recommendations

1. The Department of Premier and Cabinet should, on behalf of the NSW Government, publish a new Information and Communication Technology Strategy and establish new electronic information security governance arrangements by June 2011, and ensure that:

Establishing minimum standards and mandatory requirements

Strengthening accountability

Enhancing scrutiny

1.1. minimum standards, policies, and rules are established with which all agencies must comply, while recognising that individual agencies need to assess their own risk and may need to put in place a higher level of protection

1.2. information security is built into all public sector ICT systems from design through to implementation and disposal

1.3. all ICT products, services and assets adopted by agencies include common standards for information security and, in time, a common and secure infrastructure is used across the public sector

1.4. the processes by which agencies understand and manage their information risks are standardised

1.5. there is one central mechanism for establishing information assurance priorities, sharing risk information across agencies, and sharing best practice

1.6. existing lines of accountability through Directors General and Chief Executive Officers are used to improve information handling, with them signing off on the adequacy of security systems, and information security to be included in their performance agreements

1.7. mandatory training is provided to those with access to sensitive personal information or involved in managing it

1.8. action is taken to make clear that any failure to apply protective measures is a serious matte

AUDITOR-GENERAL’S REPORT
PERFORMANCE AUDIT Electronic Information Security

The Legislative Assembly The Legislative Council Parliament House Parliament House SYDNEY NSW 2000 SYDNEY NSW 2000

In accordance with section 38E of the Public Finance and Audit Act
1983, I present a report titled Electronic Information Security.

Peter Achterstraat
Auditor-General

Sydney
October 2010

State Library of New South Wales cataloguing-in publication data

New South Wales. Audit Office

Electronic information security / [The Audit Office of New South Wales]. (Performance audit).

978 1921252 457

1. Electronic data processing departments – New South Wales – Auditing. 2. Electronic data processing departments – Security measures – New South Wales – Auditing. 3. Computer security – New South Wales – Auditing. 4. Information storage and retrieval systems – Security measures – New South Wales – Auditing.
I. Title: Electronic information security. II. Title: NSW Auditor-General’s report : performance audit : electronic information security. III. Series: Performance audit (New South Wales. Audit Office).

352.379243909944

The Audit Office does not accept responsibility for loss or damage suffered by any person acting on or refraining from action as a result of any of this material.

Contents

Executive summary 1
Background 2
Audit conclusion 2
Supporting findings 2
Recommendations 4

Key findings 7

1. Why is electronic information security important? 8
2. Is electronic information adequately safeguarded? 12

Appendices 21
Appendix 1 About the audit 22
Appendix 2 Public sector reform initiatives relevant to
Electronic Information Security 
24

Performance Audits by the Audit Office of New South Wales 27

Executive summary

Electronic information security 1

Background

The public sector legitimately gathers and uses personal information about citizens, and shares it within and outside government. But personal information can be misused with potentially serious consequences. If the wrong people get access to sensitive personal information an individual can suffer financial loss or damage to their credit rating, have their medical records compromised, or suffer from threats and harassment.

The people of NSW have every right to expect their and their families‟ private details are secure regardless of which government agency holds it. The Government‟s current policy on Security of Electronic Information acknowledges its duty to safeguard its large information holdings and to provide credible assurance that it is doing so. Under the policy, agencies were to establish and maintain an Information Security Management System (ISMS) that complies with the international standard and covers all electronic information. They were to get and keep the main parts of their ISMS, including the parts that hold sensitive private information, certified to that standard. And the Government Chief Information Office (GCIO) was to survey agencies each year and report to Cabinet.

Our audit assesses the extent to which the Government can provide assurance that it is safeguarding its holdings of sensitive personal information. The audit does this by examining how well the Government‟s policy has been implemented.

Audit conclusion

The Government is not able to provide assurance that it is safeguarding its holdings of sensitive personal information because its policy has not been properly implemented. This is likely to remain the case until there are clear, mandatory, minimum standards that agencies sign up to, and scrutiny of performance against these standards is strengthened.

Supporting findings

The Government cannot say with any certainty whether agencies have implemented its policy. As a result, the Government does not know how well agencies are securing sensitive personal information.

Progress toward compliance and certification has not been effectively monitored. There is no centrally held, validated information on which agencies are certified to the standard, whether certification actually encompasses sensitive personal information, or even whether agencies comply with the standard but are yet to be certified. That information which does exist suggests at least two thirds of agencies have not complied with the Government‟s policy.

This is not a new problem. The Government has been issuing edicts about electronic information security for a decade. In 2001, agencies were directed to develop and implement information security policies and have their IT systems certified to the security standard. In 2002, agencies were to report their progress each quarter. In 2004 agencies were told not all had complied, and were directed to adopt an implementation plan by
31 December 2004, with initial certification to be complete by
30 September 2005 and full certification by 30 June 2006.

The current policy followed in 2007. Agencies were again told to get certified to the international standard. But there was no deadline, no effective monitoring, and no consequences if they didn‟t.

There has been an absence of clear direction and strong leadership to ensure that people‟s private details are held securely by all government agencies. No one agency has the authority to lead and oversight electronic information security across the NSW public sector and the teeth to make agencies comply.

A fundamental re-think about electronic information security is needed. Government needs to reform the overall arrangements within which agencies manage information security. If anything, IT security is going to get harder not easier. Technological change is speeding up. The level and sophistication of external threats is increasing. And to improve services efficiently, public sector agencies will need to make more use of the personal data they have and share more data with others.

Current initiatives to rationalise, consolidate and standardise Information and Communication Technology (ICT) systems and infrastructure across the NSW Government present an opportunity to improve electronic information security. As these initiatives are implemented, it should become easier to agree upon and implement common standards and approaches, and to hold agencies accountable for meeting them. But aggregating information and consolidating systems may also increase the risk and consequences of unauthorised access to electronic information. This provides an even stronger imperative to ensure electronic information is adequately protected.

A process to develop a new Government ICT strategy and to review ICT governance arrangements across the sector is underway. It is pleasing that this process includes IT security within its scope, and will cover key issues such as standard-setting, monitoring and accountability. It is important that a new ICT strategy with a strong focus on IT security, and improved IT security governance arrangements, are implemented quickly.

Other jurisdictions are also wrestling with how best to ensure electronic information is adequately safeguarded by individual agencies. Our audit identified some common themes in these jurisdictions around improving and strengthening governance and leadership of electronic information security at the centre of government, in particular:

• establishing core minimum standards and mandatory requirements

• strengthening accountability mechanisms

• enhancing scrutiny and transparency of performance. Our recommendations reflect these themes.

Recommendations

1. The Department of Premier and Cabinet should, on behalf of the NSW Government, publish a new Information and Communication Technology Strategy and establish new electronic information security governance arrangements by June 2011, and ensure that:
 
Establishing minimum standards and mandatory requirements

Strengthening accountability

Enhancing scrutiny
 
1.1. minimum standards, policies, and rules are established with which all agencies must comply, while recognising that individual agencies need to assess their own risk and may need to put in place a higher level of protection

1.2. information security is built into all public sector ICT systems from design through to implementation and disposal

1.3. all ICT products, services and assets adopted by agencies include common standards for information security and, in time, a common and secure infrastructure is used across the public sector

1.4. the processes by which agencies understand and manage their information risks are standardised

1.5. there is one central mechanism for establishing information assurance priorities, sharing risk information across agencies, and sharing best practice

1.6. existing lines of accountability through Directors General and Chief Executive Officers are used to improve information handling, with them signing off on the adequacy of security systems, and information security to be included in their performance agreements

1.7. mandatory training is provided to those with access to sensitive personal information or involved in managing it

1.8. action is taken to make clear that any failure to apply protective measures is a serious matte

0/5000

Từ: -

Sang: -

Kết quả (Việt) 1: [Sao chép]

Sao chép!

AUDITOR-GENERAL’S REPORTPERFORMANCE AUDIT Electronic Information SecurityThe Legislative Assembly The Legislative Council Parliament House Parliament House SYDNEY NSW 2000 SYDNEY NSW 2000In accordance with section 38E of the Public Finance and Audit Act1983, I present a report titled Electronic Information Security. Peter AchterstraatAuditor-GeneralSydneyOctober 2010 State Library of New South Wales cataloguing-in publication dataNew South Wales. Audit OfficeElectronic information security / [The Audit Office of New South Wales]. (Performance audit).978 1921252 4571. Electronic data processing departments – New South Wales – Auditing. 2. Electronic data processing departments – Security measures – New South Wales – Auditing. 3. Computer security – New South Wales – Auditing. 4. Information storage and retrieval systems – Security measures – New South Wales – Auditing.I. Title: Electronic information security. II. Title: NSW Auditor-General’s report : performance audit : electronic information security. III. Series: Performance audit (New South Wales. Audit Office).352.379243909944© Copyright reserved by the Audit Office of New South Wales. All rights reserved. No part of this publication may be reproduced without prior consent of the Audit Office of New South Wales.The Audit Office does not accept responsibility for loss or damage suffered by any person acting on or refraining from action as a result of any of this material.

Contents

Executive summary 1
Background 2
Audit conclusion 2
Supporting findings 2
Recommendations 4

Key findings 7

1. Why is electronic information security important? 8
2. Is electronic information adequately safeguarded? 12

Appendices 21
Appendix 1 About the audit 22
Appendix 2 Public sector reform initiatives relevant to
Electronic Information Security
24

Performance Audits by the Audit Office of New South Wales 27

Executive summary

Electronic information security 1

Background

The public sector legitimately gathers and uses personal information about citizens, and shares it within and outside government. But personal information can be misused with potentially serious consequences. If the wrong people get access to sensitive personal information an individual can suffer financial loss or damage to their credit rating, have their medical records compromised, or suffer from threats and harassment.

The people of NSW have every right to expect their and their families‟ private details are secure regardless of which government agency holds it. The Government‟s current policy on Security of Electronic Information acknowledges its duty to safeguard its large information holdings and to provide credible assurance that it is doing so. Under the policy, agencies were to establish and maintain an Information Security Management System (ISMS) that complies with the international standard and covers all electronic information. They were to get and keep the main parts of their ISMS, including the parts that hold sensitive private information, certified to that standard. And the Government Chief Information Office (GCIO) was to survey agencies each year and report to Cabinet.

Our audit assesses the extent to which the Government can provide assurance that it is safeguarding its holdings of sensitive personal information. The audit does this by examining how well the Government‟s policy has been implemented.

Audit conclusion

The Government is not able to provide assurance that it is safeguarding its holdings of sensitive personal information because its policy has not been properly implemented. This is likely to remain the case until there are clear, mandatory, minimum standards that agencies sign up to, and scrutiny of performance against these standards is strengthened.

Supporting findings

The Government cannot say with any certainty whether agencies have implemented its policy. As a result, the Government does not know how well agencies are securing sensitive personal information.

Progress toward compliance and certification has not been effectively monitored. There is no centrally held, validated information on which agencies are certified to the standard, whether certification actually encompasses sensitive personal information, or even whether agencies comply with the standard but are yet to be certified. That information which does exist suggests at least two thirds of agencies have not complied with the Government‟s policy.

This is not a new problem. The Government has been issuing edicts about electronic information security for a decade. In 2001, agencies were directed to develop and implement information security policies and have their IT systems certified to the security standard. In 2002, agencies were to report their progress each quarter. In 2004 agencies were told not all had complied, and were directed to adopt an implementation plan by
31 December 2004, with initial certification to be complete by
30 September 2005 and full certification by 30 June 2006.

The current policy followed in 2007. Agencies were again told to get certified to the international standard. But there was no deadline, no effective monitoring, and no consequences if they didn‟t.

There has been an absence of clear direction and strong leadership to ensure that people‟s private details are held securely by all government agencies. No one agency has the authority to lead and oversight electronic information security across the NSW public sector and the teeth to make agencies comply.

A fundamental re-think about electronic information security is needed. Government needs to reform the overall arrangements within which agencies manage information security. If anything, IT security is going to get harder not easier. Technological change is speeding up. The level and sophistication of external threats is increasing. And to improve services efficiently, public sector agencies will need to make more use of the personal data they have and share more data with others.

Current initiatives to rationalise, consolidate and standardise Information and Communication Technology (ICT) systems and infrastructure across the NSW Government present an opportunity to improve electronic information security. As these initiatives are implemented, it should become easier to agree upon and implement common standards and approaches, and to hold agencies accountable for meeting them. But aggregating information and consolidating systems may also increase the risk and consequences of unauthorised access to electronic information. This provides an even stronger imperative to ensure electronic information is adequately protected.

A process to develop a new Government ICT strategy and to review ICT governance arrangements across the sector is underway. It is pleasing that this process includes IT security within its scope, and will cover key issues such as standard-setting, monitoring and accountability. It is important that a new ICT strategy with a strong focus on IT security, and improved IT security governance arrangements, are implemented quickly.

Other jurisdictions are also wrestling with how best to ensure electronic information is adequately safeguarded by individual agencies. Our audit identified some common themes in these jurisdictions around improving and strengthening governance and leadership of electronic information security at the centre of government, in particular:

• establishing core minimum standards and mandatory requirements

• strengthening accountability mechanisms

• enhancing scrutiny and transparency of performance. Our recommendations reflect these themes.

Recommendations

1. The Department of Premier and Cabinet should, on behalf of the NSW Government, publish a new Information and Communication Technology Strategy and establish new electronic information security governance arrangements by June 2011, and ensure that:

Establishing minimum standards and mandatory requirements

Strengthening accountability

Enhancing scrutiny

1.1. minimum standards, policies, and rules are established with which all agencies must comply, while recognising that individual agencies need to assess their own risk and may need to put in place a higher level of protection

1.2. information security is built into all public sector ICT systems from design through to implementation and disposal

1.3. all ICT products, services and assets adopted by agencies include common standards for information security and, in time, a common and secure infrastructure is used across the public sector

1.4. the processes by which agencies understand and manage their information risks are standardised

1.5. there is one central mechanism for establishing information assurance priorities, sharing risk information across agencies, and sharing best practice

1.6. existing lines of accountability through Directors General and Chief Executive Officers are used to improve information handling, with them signing off on the adequacy of security systems, and information security to be included in their performance agreements

1.7. mandatory training is provided to those with access to sensitive personal information or involved in managing it

1.8. action is taken to make clear that any failure to apply protective measures is a serious matte

đang được dịch, vui lòng đợi..

Kết quả (Việt) 2:[Sao chép]

Sao chép!

BÁO CÁO KIỂM TOÁN-CHUNG CỦA
THỰC HIỆN KIỂM TOÁN An toàn thông tin điện tử của Hội đồng lập pháp Hội đồng Lập pháp Parliament House Tòa nhà Quốc hội SYDNEY NSW 2000 SYDNEY NSW 2000 Phù hợp với phần 38E của tài chính công và Luật Kiểm toán năm 1983, tôi trình bày một báo cáo có tựa đề bảo mật thông tin điện tử. Peter Achterstraat Tổng Kiểm toán Sydney tháng 10 năm 2010 Thư viện Tiểu bang New South Wales biên mục trong bản dữ liệu New South Wales. Kiểm toán Văn phòng an ninh thông tin điện tử / [Văn phòng kiểm toán của New South Wales]. (Hiệu suất kiểm toán). 978 1.921.252 457 1. Chi cục xử lý dữ liệu điện tử - New South Wales - Kiểm toán. 2. khoa điện tử xử lý dữ liệu - các biện pháp an ninh - New South Wales - Kiểm toán. 3. Máy tính bảo mật - New South Wales - Kiểm toán. 4. Thông tin lưu trữ và truy hệ thống - các biện pháp an ninh - New South Wales -. Kiểm toán I. Tiêu đề: an ninh thông tin điện tử. II. Tiêu đề: thực hiện kiểm toán:: Báo cáo NSW Tổng Kiểm toán của an ninh thông tin điện tử. III. Series: Hiệu suất kiểm toán (. New South Wales Audit Office). 352,379243909944 © Bản quyền thuộc về Văn phòng Kiểm toán của New South Wales. Tất cả quyền được bảo lưu. Không có phần nào của ấn phẩm này có thể được sao chép lại mà không có sự đồng ý trước của Văn phòng Kiểm toán của New South Wales. Văn phòng Kiểm toán không chấp nhận trách nhiệm đối với tổn thất hoặc thiệt hại của bất kỳ người nào hành động trên hoặc kiềm chế không hành động như một kết quả của bất kỳ vật liệu này. Nội dung Tóm tắt 1 Bối cảnh 2 kiểm toán kết luận 2 kết quả Hỗ trợ 2 Khuyến nghị 4 kết quả chính 7 1. Tại sao an ninh thông tin điện tử quan trọng? 8 2. Có thông tin điện tử bảo mật thích đáng? 12 Phụ lục 21 Phụ lục 1 Thông tin về kiểm toán 22 Phụ lục 2 sáng kiến cải cách khu vực công cộng có liên quan đến an ninh thông tin điện tử 24 Hiệu suất kiểm toán bởi Kiểm toán của New South Wales 27 Tóm tắt bảo mật thông tin điện tử 1 Bối cảnh Ngành công hợp pháp thu thập và sử dụng thông tin cá nhân của công dân , và chia sẻ trong và bên ngoài chính phủ. Nhưng thông tin cá nhân có thể được sử dụng sai với hậu quả nghiêm trọng. Nếu những người không được tiếp cận với thông tin cá nhân nhạy cảm một cá nhân có thể bị tổn thất tài chính hoặc thiệt hại đến xếp hạng tín dụng của họ, có hồ sơ y tế của họ bị tổn hại, hoặc bị đe dọa và quấy rối. Người dân NSW có mọi quyền để mong đợi của họ và họ gia đình " chi tiết tin được an toàn bất kể là cơ quan chính phủ nắm giữ nó. Chính sách hiện hành của Chính phủ "s về An ninh Thông tin điện tử thừa nhận nhiệm vụ của mình để bảo vệ nắm giữ thông tin lớn của nó và để cung cấp sự đảm bảo đáng tin cậy rằng nó được làm như vậy. Theo chính sách này, các cơ quan được thành lập và duy trì một hệ thống thông tin Quản lý Bảo mật (ISMS) tuân thủ các tiêu chuẩn quốc tế và bao gồm tất cả thông tin điện tử. Họ đã có được và giữ cho các bộ phận chính của ISMS của họ, bao gồm cả những phần mà giữ thông tin cá nhân nhạy cảm, chứng nhận tiêu chuẩn đó. Và Văn phòng Thông tin trưởng Chính phủ (GCIO) đã tiến hành khảo sát các cơ quan mỗi năm và báo cáo với Nội các. Kiểm toán của chúng tôi đánh giá mức độ mà Chính phủ có thể cung cấp sự đảm bảo rằng nó được bảo vệ nắm giữ các thông tin cá nhân nhạy cảm. Việc kiểm toán thực hiện điều này bằng cách kiểm tra chính sách của Chính phủ "s đã được thực hiện như thế nào. Kết luận Kiểm toán Chính phủ là không thể cung cấp sự đảm bảo rằng nó được bảo vệ nắm giữ các thông tin cá nhân nhạy cảm vì chính sách của nó đã không được thực hiện đúng. Điều này có thể vẫn còn những trường hợp cho đến khi có được rõ ràng, bắt buộc, tiêu chuẩn tối thiểu mà cơ quan đăng ký để, và xem xét kỹ lưỡng về hiệu suất so với các tiêu chuẩn này được tăng cường. Hỗ trợ phát hiện Chính phủ không thể nói với bất kỳ sự chắc chắn cho dù cơ quan đã thực hiện chính sách của mình. Kết quả là, Chính phủ không biết như thế nào cơ quan được bảo vệ thông tin cá nhân nhạy cảm. Progress đối tuân thủ và cấp giấy chứng nhận đã không được giám sát một cách hiệu quả. Không có tổ chức trực thuộc Trung ương, thông tin xác nhận trên mà cơ quan được chứng nhận tiêu chuẩn, cho dù chứng thực bao gồm thông tin cá nhân nhạy cảm, hoặc thậm chí cho dù các cơ quan thực hiện theo tiêu chuẩn nhưng vẫn chưa được xác nhận. Đó là thông tin mà không tồn tại cho thấy ít nhất hai phần ba số cơ quan đã không tuân thủ các chính sách của Chính phủ "s. Đây không phải là một vấn đề mới. Chính phủ đã ban hành sắc lệnh về an ninh thông tin điện tử cho một thập kỷ. Trong năm 2001, các cơ quan được chỉ đạo để phát triển và thực hiện các chính sách an ninh thông tin và có các hệ thống CNTT của họ được chứng nhận đạt tiêu chuẩn an ninh. Năm 2002, cơ quan đã báo cáo tiến độ của họ mỗi quý. Năm 2004 cơ quan được cho biết không phải tất cả đã tuân thủ, và đã được đạo diễn thông qua một kế hoạch thực hiện của ngày 31 tháng 12 năm 2004, có xác nhận ban đầu sẽ hoàn thành ngày 30 tháng 9 năm 2005 và chứng nhận đầy đủ bởi 30 tháng 6 năm 2006. Các chính sách hiện hành sau năm 2007. Các cơ quan đã một lần nữa nói để có được chứng nhận theo tiêu chuẩn quốc tế. Nhưng có thời hạn không, không giám sát hiệu quả, và không có hậu quả nếu họ didn "t. Hiện đã có một trường hợp không có định hướng rõ ràng và lãnh đạo mạnh mẽ để đảm bảo rằng những người" s chi tiết riêng tư được tổ chức an toàn của tất cả các cơ quan chính phủ. Không có một cơ quan có thẩm quyền để hướng dẫn và giám sát an ninh thông tin điện tử trên toàn khu vực công NSW và răng để làm cho các cơ quan thực hiện. Một nền tảng suy nghĩ lại về an ninh thông tin điện tử là cần thiết. Chính phủ cần phải cải cách sắp xếp tổng thể trong đó các cơ quan quản lý an ninh thông tin. Nếu bất cứ điều gì, an ninh CNTT là sẽ nhận được khó khăn hơn không dễ dàng hơn. Thay đổi công nghệ đang tăng tốc. Mức độ và sự tinh tế của các mối đe dọa bên ngoài ngày càng tăng. Và để cải thiện các dịch vụ hiệu quả, các cơ quan khu vực công sẽ cần phải sử dụng nhiều hơn các dữ liệu cá nhân của họ và chia sẻ dữ liệu với những người khác. Sáng kiến hiện tại để hợp lý hóa, củng cố và chuẩn hóa công nghệ thông tin (ICT) và hệ thống cơ sở hạ tầng trên của Chính phủ NSW trình bày một cơ hội để cải thiện an ninh thông tin điện tử. Như những sáng kiến được thực hiện, nó sẽ trở nên dễ dàng hơn để thỏa thuận và thực hiện các tiêu chuẩn và phương pháp chung, và để giữ các cơ quan trách nhiệm đáp ứng chúng. Nhưng tổng hợp thông tin và củng cố hệ thống này cũng có thể làm tăng nguy cơ và hậu quả của truy cập trái phép thông tin điện tử. Điều này cung cấp một. Thậm chí mạnh hơn bắt buộc để đảm bảo thông tin điện tử được bảo vệ đầy đủ Một quá trình phát triển một chiến lược ICT Chính phủ mới và xem xét cơ chế quản trị công nghệ thông tin trong toàn ngành đang được tiến hành. Đó là lòng rằng quá trình này bao gồm CNTT an ninh trong phạm vi của nó, và sẽ bao gồm các vấn đề chính như thiết lập tiêu chuẩn, giám sát và trách nhiệm giải trình. Điều quan trọng là một chiến lược công nghệ thông tin mới với một tập trung mạnh mẽ về an ninh CNTT, và cải thiện IT sắp xếp quản an ninh, được thực hiện một cách nhanh chóng. Khu vực pháp lý khác cũng đang vật lộn với cách tốt nhất để đảm bảo thông tin điện tử được bảo vệ đầy đủ của các cơ quan cá nhân. Kiểm toán của chúng tôi đã xác định một số chủ đề phổ biến trong các khu vực pháp lý xung quanh việc cải thiện và tăng cường quản trị và lãnh đạo an ninh thông tin điện tử tại trung tâm hành chính, cụ thể: • Thiết lập các tiêu chuẩn tối thiểu lõi và yêu cầu bắt buộc • tăng cường cơ chế trách nhiệm • tăng cường giám sát và minh bạch về hiệu suất. Khuyến nghị của chúng tôi phản ánh những chủ đề này. Khuyến nghị 1. Sở Premier và Nội nên, thay mặt Chính phủ NSW, xuất bản một thông tin mới và Công nghệ Truyền thông Chiến lược và thiết lập cơ chế quản trị an ninh thông tin điện tử mới vào tháng Sáu năm 2011, và đảm bảo rằng: Xây dựng tiêu chuẩn tối thiểu và các yêu cầu bắt buộc Tăng cường trách nhiệm giải trình Tăng cường giám sát 1.1 . tiêu chuẩn tối thiểu, chính sách và các quy tắc được thiết lập với tất cả các cơ quan đó phải tuân thủ, trong khi thừa nhận rằng cơ quan cá nhân cần phải đánh giá rủi ro của họ và có thể cần phải đưa ra một mức độ bảo vệ cao 1.2. an ninh thông tin được xây dựng vào tất cả các hệ thống công nghệ thông tin ngành công từ thiết kế đến thực hiện và xử lý 1.3. tất cả các sản phẩm công nghệ thông tin, dịch vụ và tài sản được các cơ quan bao gồm các tiêu chuẩn chung về an ninh thông tin và, trong thời gian, một cơ sở hạ tầng chung và an toàn được sử dụng trên các khu vực công cộng 1.4. các quá trình mà các cơ quan hiểu và quản lý rủi ro thông tin của họ được tiêu chuẩn 1.5. có một cơ chế trung tâm cho việc ưu tiên phải bảo đảm thông tin, chia sẻ thông tin rủi ro giữa các cơ quan, và chia sẻ thực hành tốt nhất 1.6. tuyến đường hiện có trách nhiệm thông qua Tổng giám đốc và Giám đốc điều hành Sĩ quan được sử dụng để cải thiện xử lý thông tin, với họ ký tắt về tính đầy đủ của các hệ thống bảo mật, an ninh thông tin được bao gồm trong thỏa thuận hoạt động của họ 1.7. đào tạo bắt buộc được cung cấp cho những người có quyền truy cập vào thông tin cá nhân nhạy cảm hoặc có liên quan trong việc quản lý nó 1.8. hành động được thực hiện để làm cho rõ ràng rằng bất kỳ sự thất bại để áp dụng các biện pháp bảo vệ là một mờ nghiêm trọng

đang được dịch, vui lòng đợi..

Kết quả (Việt) 3:[Sao chép]

Sao chép!

đang được dịch, vui lòng đợi..

Các ngôn ngữ khác

Hỗ trợ công cụ dịch thuật: Albania, Amharic, Anh, Armenia, Azerbaijan, Ba Lan, Ba Tư, Bantu, Basque, Belarus, Bengal, Bosnia, Bulgaria, Bồ Đào Nha, Catalan, Cebuano, Chichewa, Corsi, Creole (Haiti), Croatia, Do Thái, Estonia, Filipino, Frisia, Gael Scotland, Galicia, George, Gujarat, Hausa, Hawaii, Hindi, Hmong, Hungary, Hy Lạp, Hà Lan, Hà Lan (Nam Phi), Hàn, Iceland, Igbo, Ireland, Java, Kannada, Kazakh, Khmer, Kinyarwanda, Klingon, Kurd, Kyrgyz, Latinh, Latvia, Litva, Luxembourg, Lào, Macedonia, Malagasy, Malayalam, Malta, Maori, Marathi, Myanmar, Mã Lai, Mông Cổ, Na Uy, Nepal, Nga, Nhật, Odia (Oriya), Pashto, Pháp, Phát hiện ngôn ngữ, Phần Lan, Punjab, Quốc tế ngữ, Rumani, Samoa, Serbia, Sesotho, Shona, Sindhi, Sinhala, Slovak, Slovenia, Somali, Sunda, Swahili, Séc, Tajik, Tamil, Tatar, Telugu, Thái, Thổ Nhĩ Kỳ, Thụy Điển, Tiếng Indonesia, Tiếng Ý, Trung, Trung (Phồn thể), Turkmen, Tây Ban Nha, Ukraina, Urdu, Uyghur, Uzbek, Việt, Xứ Wales, Yiddish, Yoruba, Zulu, Đan Mạch, Đức, Ả Rập, dịch ngôn ngữ.