O Chief Information Security Officer (CISO) de uma grande empresa gostaria de entender como as políticas de segurança da empresa se comparam aos requisitos impostos por reguladores externos. Qual das seguintes opções o CISO deve usar?

A auditoria interna é a opção correta porque avalia a conformidade das políticas e procedimentos de segurança da empresa com os requisitos regulatórios e padrões internos. Ela fornece uma visão objetiva da postura de segurança da organização e identifica lacunas que precisam ser corrigidas. Um teste de penetração avalia vulnerabilidades exploráveis, não a conformidade com políticas. Um atestado é uma declaração formal de conformidade, geralmente feita por terceiros, mas não é o processo de avaliação em si. Um exame externo é semelhante a uma auditoria, mas geralmente realizado por uma entidade externa, enquanto a pergunta se refere a uma avaliação que o CISO deseja entender internamente.