Der Chief Information Security Officer (CISO) eines großen Unternehmens möchte verstehen, wie sich die Sicherheitsrichtlinien des Unternehmens im Vergleich zu den Anforderungen externer Aufsichtsbehörden verhalten. Was sollte der CISO in diesem Fall verwenden?

Eine interne Revision ist der korrekte Ansatz, da sie eine unabhängige Bewertung der Einhaltung von Richtlinien und Vorschriften durch das Unternehmen darstellt. Der CISO kann interne Auditoren beauftragen, die Sicherheitsrichtlinien des Unternehmens mit den Anforderungen externer Aufsichtsbehörden abzugleichen und Lücken oder Nichtkonformitäten zu identifizieren. Ein Penetrationstest bewertet die Sicherheit von Systemen durch simulierte Angriffe, nicht die Einhaltung von Richtlinien. Eine Attestierung ist eine formelle Bestätigung der Einhaltung, oft durch Dritte, aber die interne Revision ist der Schritt, der zur Identifizierung von Konformitätsproblemen führt. Eine externe Prüfung wird von einer externen Partei durchgeführt und ist zwar ähnlich, aber die interne Revision ist oft der erste Schritt, um die eigene Konformität zu bewerten, bevor externe Parteien hinzugezogen werden.