Che cos'è un controllo di sicurezza?
Un audit di sicurezza è un'analisi dell'adeguatezza della sicurezza in un sistema informatico. I tipi di audit di sicurezza generali includono un audit IT per i sistemi IT totali dell'azienda o un audit di sicurezza del computer per un sistema o processo IT parziale. Questi tipi di processi di controllo interno vengono eseguiti per garantire che la sicurezza sia sufficiente per qualsiasi tipo di sistema IT all'interno di un'azienda.
Coloro che effettuano un audit di sicurezza possono esaminare la crittografia o altri elementi di sicurezza online o informatizzata. Possono fare interviste agli utenti di computer per determinare se il fattore umano è un anello debole in termini di sicurezza. Un revisore della sicurezza può proseguire un test di penetrazione o un altro tipo di valutazione della sicurezza per giudicare la sicurezza di un sistema IT.
Alcuni tipi di audit di sicurezza sono ordinati dalla direzione aziendale come parte della protezione della linea di fondo per un'azienda. Altri controlli di sicurezza vengono effettuati al fine di garantire la conformità con le leggi federali, statali o locali quando i dati aziendali includono un elemento di rischio pubblico. In questi casi, le agenzie governative possono richiedere controlli periodici sulla sicurezza per dimostrare che un'azienda sta proteggendo i dati pubblici.
La legislazione nota come legge sulla portabilità e responsabilità dell'assicurazione malattia o HIPAA è il principale motore di audit di sicurezza per le aziende mediche. Le regole HIPAA prevedono una rigorosa sicurezza dei dati dei pazienti e ogni struttura o azienda medica deve conformarsi alle normative HIPAA. Le attività di audit di sicurezza possono includere un'attenzione specifica per garantire che l'HIPAA sia seguito all'interno dell'azienda o della rete.
Le società finanziarie o di altro tipo possono condurre un audit di sicurezza ai sensi delle normative imposte dalla legge Sarbanes-Oxley. Sebbene Sarbanes-Oxley sia stato progettato come protezione contro le pratiche contabili corrotte, la sua legislazione può includere elementi come gli audit di sicurezza come parte di un processo di audit globale. In altri casi, la legislazione sulla protezione dei consumatori può richiedere alle imprese di condurre un audit di sicurezza.
Un'azienda può spesso avere una politica di sicurezza che impone quando e come dovrebbe essere fatto un audit di sicurezza. L'audit di sicurezza può anche comportare l'esame di "controlli e saldi" all'interno di un dipartimento o sistema aziendale. Tutti questi sforzi mirano all'obiettivo generale di salvaguardare i dati e fornire sicurezza competente per qualsiasi tipo di impresa. I revisori professionali sono addestrati nelle metriche precise che mostrano se un sistema di sicurezza è affidabile e ragionevolmente protetto dagli attacchi esterni.