Gæt et regnskabsprogram!

Martin Thorborg:

Rom blev ikke bygget på en dag

Det er vist svært og modbevise, selv for det bedste regnskabsprogram

Tonny Skov Pedersen:

Faktum er, at vi som brugere ikke kan være sikre på disse programmers sikkerhed.

Det vil man aldrig kunne med et onlineprogram. Der er alt for mange, der har adgang til data og du aner ikke hvem. Dertil kommer at en passende mængde uheld kan betyde at dine data er tabt. Et uheld kan være at firmaet bag går i betalingsstandsning og servererne lukkes. Der kan gå dage før du måske får fat i tingene igen, men du er stadig ansvarlig over for myndighederne.

Man har selvfølgelig samme ansvar for data på egne servere, men her er man meget mere bevidst om det, og man ved i det mindste at man er ansvarlig - at det ikke er sælger, der er ansvarlig for backup mv.

Tonny Skov Pedersen:

Eks. har Dinero Regnskabsprogram jvf. din signatur følgende ordlyd:

Gratis regnskabsprogram til du har omsat 1 million kroner

Jeg ved ikke, hvordan dette virker og kontrolleres, idet det principielt ikke bør være muligt for en udbyder at kunne udlæse disse data hos brugerne, idet en kryptering af data meget gerne skulle forhindre dette.

Pointen af det hele er at det eneste der er dokumenteret  omkring Dineros sikkerhed er den fysiske sikkerhed på deres datacenter. Alt andet flyder og er reelt en risiko (større eller mindre afhængighed af den enkelte virksomhed) som den enkelte bruger har valgt.

Som tidligere nævnt i tråden er det ikke Dineros problem men den enkelte virksomheds eget problem. Det positive i tråden er at Martin har været klar i spyttet, som den eneste og meldt ud hvor han står. Jeg har fuld forståelse for at forretningen ligger øverst på listen og så må det andet følge med. Specielt når man ser på målgruppen.

Et langt større problem findes i den lille underskov af programmer der popper op for at forsvinde igen.

/Henrik


PS. Sammenligningen med Danske Bank er skudt lidt over målet. Banker er underlagt så megen kontrol at alle de store banker har egne folk, der ikke beskæftiger sig med andet end edb-revision, ligesom de er underlagt en helt anden og mere striks lovgivning end de fleste andre brancher. Dineros datacenters ISAE 3402 ligner en pixiebog sammenlignet med bankernes.

Henrik Koudahl:

Alt andet flyder og er reelt en risiko

Der er intet der flyder hos Dinero, så meget er sikkert.
Men nej, vi har ikke haft Deloitte til at overvåge vores programmering og det ville ikke give mening at gøre det.
Når vi er længere i processen, så må vi se om det giver mening at få certificeret løsningen, men den tid den interesse.

Henrik Koudahl:

PS. Sammenligningen med Danske Bank er skudt lidt over målet. Banker er underlagt så megen kontrol at alle de store banker har egne folk, der ikke beskæftiger sig med andet end edb-revision, ligesom de er underlagt en helt anden og mere striks lovgivning end de fleste andre brancher. Dineros datacenters ISAE 3402 ligner en pixiebog sammenlignet med bankernes.

Jeg har aldrig sammenlignet vores sikkerhed med banker, selvom vi faktisk følger mange af de samme metoder for sikkerhed som dem.
Det jeg skrev, var at vi selvfølgelig har adgang til folks data, lige som en bank har det.
Hvordan skulle vi ellers kunne regne folk moms ud og alt det andet?

Spændende tråd, jeg desværre først er faldet over alt for sent... Desværre får jeg fornemmelsen af, at de fleste tror de skal ud og have en IT-erklæring, hvis de anvender et program i skyen, hvilket bestemt ikke er tilfældet!

Det drejer sig grundlæggende om, at man skal have indsigt i og fokus på sin værdikæde. Når man ligger sit regnskabsprogram, eller andre kerneydelser centralt hertil (fx. timeregistrering eller lignende) ud i en cloudbaseret løsning, så ligger man sin bogføring/regnskabsværdi kæde ud i skyen med de risici og problemer dette kan afsted komme. Det drejer sig grundlæggende om, at hvis ikke ens serviceleverandør har redegjort for hvordan dels den fysiske sikkerhed, men i ligeså høj grad applikationssikkerheden er foretaget, så har du reelt set ikke indsigt i hvordan dine data er opbevaret og sikret.

Jeg synes egentligt PWC rammer hovedet på sømmet rigtig godt i denne sammenhæng: http://www.pwc.dk/da/nyt/finance/risk/risici-interne-kontroller.jhtml

For dem som er mere nysgerrige er der her et mere detaljeret beskrivelse incl. udtalelser fra kunder: http://www.bdo.dk/Private%20Virksomheder/revision-og-regnskab/it-erkl%C3%A6ringer/Documents/A4_Outsourching_af_it_It-revision_samlet_www.pdf

Cef:

Spændende tråd, jeg desværre først er faldet over alt for sent... Desværre får jeg fornemmelsen af, at de fleste tror de skal ud og have en IT-erklæring, hvis de anvender et program i skyen, hvilket bestemt ikke er tilfældet!

Det drejer sig grundlæggende om, at man skal have indsigt i og fokus på sin værdikæde. Når man ligger sit regnskabsprogram, eller andre kerneydelser centralt hertil (fx. timeregistrering eller lignende) ud i en cloudbaseret løsning, så ligger man sin bogføring/regnskabsværdi kæde ud i skyen med de risici og problemer dette kan afsted komme. Det drejer sig grundlæggende om, at hvis ikke ens serviceleverandør har redegjort for hvordan dels den fysiske sikkerhed, men i ligeså høj grad applikationssikkerheden er foretaget, så har du reelt set ikke indsigt i hvordan dine data er opbevaret og sikret.

Jeg synes egentligt PWC rammer hovedet på sømmet rigtig godt i denne sammenhæng: http://www.pwc.dk/da/nyt/finance/risk/risici-interne-kontroller.jhtml

For dem som er mere nysgerrige er der her et mere detaljeret beskrivelse incl. udtalelser fra kunder: http://www.bdo.dk/Private%20Virksomheder/revision-og-regnskab/it-erkl%C3%A6ringer/Documents/A4_Outsourching_af_it_It-revision_samlet_www.pdf

 

Hej Christian

Enig

I hele tråden er det flere gange fremhævet, at det en kundens ansvar, at de data der befinder sig i en hosted løsning også er sikre og kan "hentes" igen.

Første forudsætning er følgelig, at udbyderne netop kan fremvise en trediemands vurdering af, at udbydernes forhold nu også er, som de er beskrevet. Dette er desværre kun sjældent tilfældet.

Næste problem er så, hvad jeg ofte siger: "Hvem kigger med?"

Hvordan foregår krypteringen af data, hvis overhovedet nogen? Hvordan forholdes der med personfølsomme oplysninger?

Jeg fatter stadig ikke, at brugerne af hostede løsning (ikke kun regnskabsprogrammer) ikke er mere kritiske overfor disse forhold, men "hopper i med begge ben" uden reelt at sikre sig bare minimalt for, at udbyderen nu også er pålidelig...

Jeg har også flere gange skrevet, at jeg ikke er i tvivl om, at de fleste udbydere har en vis sikkerhed for deres ydelser m.v., men det er så en gåde, at der ikke forefindes tilstrækkelige systembeskrivelser og erklæringer fra trediemand (eks. en ISAE 3402 erklæring), som så bekræfter, at udbyderen har fuldt styr på sin del af sikkerheden.

Jeg er netop grundet denne problemstilling stadig ikke på det punkt, hvor jeg selv kunne bruge disse løsninger, hvilket også er baggrunden for, at jeg ikke anbefaler brugen af især online regnskabsprogrammer.

Jeg ser dog også problemerne for selskaber med revisionspligt, hvor den godkendte revisor skal forholde sig til en påtegning, når selskabet anvender en online løsning, hvor sikkerheden ikke kan verificeres, uagtet selskabets egne systembeskrivelser er helt korrekte!

Iøvrige nogle interessante links fra Christian, som kan anbefales.

Tonny