Hva er en datasikkerhetsrevisjon?

En datasikkerhetsrevisjon er en teknisk vurdering av hvor godt et virksomhets eller organisasjons informasjonssikkerhetsmål blir oppfylt. Det meste av tiden ansetter selskaper spesialist innen informasjonsteknologi (IT) for å utføre revisjoner, vanligvis på en tilfeldig eller uanmeldt basis. Et av hovedmålene med tilsynet er å gi ledere en ide om den generelle helsen til nettverkssikkerheten. Rapporter er ofte omfattende, og dokumenterer samsvar sammen med eventuelle avdekket risiko. Avhengig av typen nettverk og kompleksiteten til systemene det er snakk om, kan en datasikkerhetsrevisjon noen ganger gjøres i mindre skala med et dedikert program.

Nettverk, intranettforbindelser og internettilgjengelighet har gjort virksomhetenes forretninger utrolig effektive, men med denne effektiviteten kommer en viss grad av sårbarhet. Vanlige risikoer inkluderer hacking, tyveri av informasjon og datavirus. Selskaper implementerer vanligvis en rekke nettverkssikkerhetsprogrammer for å dempe disse risikoene. De lager også regler for god praksis for nettverksbruk. En datasikkerhetsrevisjon er en måte for bedriftsledere å se på hvordan disse tiltakene fungerer på en daglig basis.

Tilsyn kan vanligvis være så smale eller så omfattende som administratorer ønsker. Det er vanlig at selskaper vurderer individuelle avdelinger, så vel som å fokusere på spesifikke trusler, for eksempel passordstyrke, ansattes datatilgangstrender eller generell integritet til bedriftens hjemmeside. En mer overordnet datasikkerhetsrevisjon evaluerer alle selskapets innstillinger, bestemmelser og handlinger for informasjonssikkerhet samtidig.

I de fleste tilfeller ender ikke tilsynet med en liste over risikoer. Å forstå potensielle sårbarheter er veldig viktig, men det alene sikrer ikke nettverkssikkerhet. Rapporter om datasikkerhetsrevisjoner må også detaljere vanlig bruk - spesifikt hvordan bruken samsvarer med selskapets sikkerhetsmål - og deretter komme med forslag til forbedringer derfra.

Å analysere tilgang til sensitive data er vanligvis en viktig del av en datasikkerhetsrevisjon. Å vite hvilke ansatte som har fått tilgang til data, hvor ofte, og hvorfor kan gi bedriftsledere litt innsikt i hvor privat viss informasjon egentlig er. Revisorer kan også se på sikkerhetsinnstillingene for bedriftens eiendeler som stordramme-nettstedet og individuelle e-postkontoer, og kan vanligvis beregne hvor mange ganger hver har blitt logget på i løpet av revisjonsperioden. Målet her er ikke så mye å spore enkeltansatte som det er å få en følelse av gjennomsnittlig trafikkmønster og forstå vanlige bruksmodeller.

Mer enn noe annet er revisjonens hovedmål å gi et overordnet bilde av et datasikkerhetslandskap. De fleste selskaper planlegger tilsyn regelmessig, ofte gjennom sine IT-avdelinger eller med eksterne entreprenører. Det er gjennom disse øvelsene de lærer å være proaktive som svar på utvikling av trusler. Mange oppdaterer antivirus- og datasikkerhetsprogramvaren, endrer passordpolicyer og styrker brannmuren som svar på funn og anbefalinger fra tilsynsrapporten.