Un'organizzazione deve fornire garanzie che i suoi controlli siano adeguatamente progettati e funzionino efficacemente. Quale dei seguenti report raggiungerà al meglio l'obiettivo?

Un audit indipendente è la scelta migliore perché fornisce una valutazione obiettiva e credibile della progettazione e dell'efficacia operativa dei controlli di un'organizzazione. Un revisore esterno, non influenzato da interessi interni, può attestare che i controlli sono adeguati e funzionano come previsto, offrendo le garanzie richieste. Il red teaming e il penetration testing sono esercizi offensivi volti a trovare vulnerabilità, non a fornire garanzie formali sull'adeguatezza dei controlli. Una vulnerability assessment identifica le debolezze, ma non valuta l'efficacia complessiva dei controlli né fornisce l'attestazione di terze parti di un audit.