Le responsable de la sécurité des systèmes d'information (RSSI) d'une grande entreprise souhaite comprendre comment les politiques de sécurité de l'entreprise se comparent aux exigences imposées par les régulateurs externes. Le RSSI devrait utiliser lequel des éléments suivants ?

Un audit interne est un examen systématique et indépendant des opérations et des contrôles d'une organisation pour déterminer si les politiques et procédures sont respectées et si les objectifs sont atteints. Dans ce cas, il permet au RSSI de comparer les politiques de sécurité internes aux exigences réglementaires externes. Un test d'intrusion évalue la sécurité d'un système en simulant une attaque, ce qui ne répond pas directement à la question de la conformité réglementaire. L'attestation est une déclaration formelle ou une certification qu'une norme a été respectée, souvent effectuée par un tiers, mais l'audit interne est l'outil pour évaluer la conformité avant l'attestation. Un examen externe est similaire à un audit externe, effectué par une partie indépendante, mais l'audit interne est l'outil que le RSSI peut utiliser en premier lieu pour évaluer la conformité.