El Director de Seguridad de la Información (CISO) de una gran empresa desea comprender cómo se comparan las políticas de seguridad de la empresa con los requisitos impuestos por los reguladores externos. ¿Cuál de los siguientes debería usar el CISO?

Una auditoría interna es el enfoque correcto porque evalúa los controles y políticas de seguridad de una organización frente a estándares internos y requisitos externos, como los impuestos por los reguladores. Esto permite al CISO identificar brechas y asegurar el cumplimiento. Una prueba de penetración evalúa la seguridad de un sistema intentando explotar vulnerabilidades, lo cual es diferente a comparar políticas con requisitos regulatorios. Una atestación es una declaración formal de cumplimiento, generalmente realizada después de una auditoría, no el proceso de comparación en sí. Un examen externo es similar a una auditoría, pero generalmente lo realiza una entidad independiente para certificar el cumplimiento, mientras que el CISO busca comprender la situación internamente antes de una posible certificación externa.