De Chief Information Security Officer (CISO) van een groot bedrijf wil inzicht krijgen in hoe het beveiligingsbeleid van het bedrijf zich verhoudt tot de eisen die externe regelgevers stellen. Welke van de volgende opties moet de CISO gebruiken?

Een interne audit is de beste optie omdat deze een systematische en onafhankelijke evaluatie biedt van de naleving van het beveiligingsbeleid van het bedrijf met externe regelgeving. Dit helpt de CISO inzicht te krijgen in de huidige status en eventuele hiaten te identificeren. Een penetratietest richt zich op het vinden van kwetsbaarheden in systemen, niet op beleidsnaleving. Een attestation is een formele verklaring van naleving, vaak afgegeven door een derde partij, maar biedt niet de diepgaande analyse die de CISO nodig heeft om het beleid te vergelijken met regelgeving. Een externe examination is vergelijkbaar met een externe audit en wordt meestal uitgevoerd door een externe partij, wat niet de primaire methode is voor een CISO om zelf inzicht te krijgen in de naleving van het eigen beleid.