Dyrektor ds. bezpieczeństwa informacji (CISO) w dużej firmie chciałby zrozumieć, jak polityki bezpieczeństwa firmy wypadają w porównaniu z wymaganiami narzuconymi przez zewnętrzne organy regulacyjne. Czego powinien użyć CISO?

Audyt wewnętrzny to formalna ocena zgodności polityk i procedur firmy z określonymi standardami, w tym z wymaganiami zewnętrznych organów regulacyjnych. CISO użyłby audytu wewnętrznego, aby systematycznie ocenić, czy istniejące polityki bezpieczeństwa spełniają te wymogi. Test penetracyjny skupia się na wykrywaniu luk w zabezpieczeniach systemów, a nie na zgodności polityk. Atestacja to oświadczenie o zgodności, często wydawane przez stronę trzecią, ale nie jest to narzędzie do wewnętrznej oceny. Badanie zewnętrzne, choć może być użyteczne, nie jest tak bezpośrednio związane z wewnętrzną oceną polityk bezpieczeństwa firmy w kontekście wymagań regulacyjnych jak audyt wewnętrzny.