Hvad er en sikkerhedsrevision?
En sikkerhedsrevision er en analyse af tilstrækkeligheden af sikkerheden i et informationsteknologisystem. Typer af generel sikkerhedsrevision inkluderer en IT-revision for virksomhedens samlede IT-systemer eller en computersikkerhedsrevision til en delvis IT-system eller -proces. Disse typer interne revisionsprocesser udføres for at sikre, at sikkerhed er tilstrækkelig til enhver type IT-system i en virksomhed.
Dem, der udfører en sikkerhedsrevision, kan se på kryptering eller andre elementer af online eller edb-sikkerhed. De kan muligvis foretage interviews af computerbrugere for at afgøre, om den menneskelige faktor er en svag forbindelse med hensyn til sikkerhed. En sikkerhedsrevisor kan gennemføre en penetrationstest eller anden type sikkerhedsvurdering for at bedømme, hvor sikkert et it-system kan være.
Nogle typer sikkerhedsrevisioner bestilles af virksomhedsledelsen som en del af at beskytte bundlinjen for en virksomhed. Andre sikkerhedsrevisioner udføres for at sikre overholdelse af føderale, statslige eller lokale love, når virksomhedsdata inkluderer et offentlig risikoelement. I disse tilfælde kan myndigheder kræve periodiske sikkerhedsrevisioner for at vise, at en virksomhed beskytter offentlige data.
Lovgivningen kendt som Health Insurance Portability and Accountability Act eller HIPAA er en vigtig drivkraft for sikkerhedsrevisioner for medicinske virksomheder. HIPAA-reglerne giver streng patientdata-sikkerhed, og enhver medicinsk relateret facilitet eller virksomhed skal overholde HIPAA-reglerne. Sikkerhedsrevisionsopgaver kan omfatte særlig opmærksomhed på at sikre, at HIPAA følges i virksomheden eller netværket.
Finansielle eller andre virksomheder kan foretage en sikkerhedsrevision i henhold til de regler, der er indført ved Sarbanes-Oxley-loven. Selvom Sarbanes-Oxley blev designet som en beskyttelse mod korrupt regnskabspraksis, kan dens lovgivning omfatte elementer som sikkerhedsrevisioner som en del af en samlet revisionsproces. I andre tilfælde kan forbrugerbeskyttelseslovgivningen kræve, at en virksomhed foretager en sikkerhedsrevision.
En virksomhed kan ofte have en sikkerhedspolitik, der kræver, hvornår og hvordan en sikkerhedsrevision skal udføres. Sikkerhedsrevisionen kan også indebære at se på "kontrol og balance" i en afdeling eller forretningssystem. Al denne indsats går mod det overordnede mål om at beskytte data og give kompetent sikkerhed for enhver form for virksomhed. Professionelle revisorer er trænet i de nøjagtige målinger, der viser, om et sikkerhedssystem er pålideligt og med rimelighed beskyttet mod angreb udefra.