Sikkerhedsaudit forklaret

Med en sikkerhedsaudit får ledelsen målt IT-sikkerheden mod en målestok, der er valgt på forhånd, og svaret bygger på bevis. Artiklerne her forklarer begrebet, de ord, der bruges om det, og hvordan auditten skiller sig fra de mange andre former for gennemgang, test og erklæring, som virksomheder bliver tilbudt. Når I har læst dem, kan I sige, hvilket spørgsmål I vil have besvaret, og hvad svaret skal måles imod.

Begrebet og grænserne

• Hvad er en sikkerhedsaudit, og hvilke spørgsmål svarer den på? Kriterier, bevis og rapport som de tre bærende dele.
• Audit, revision, gennemgang og tjek: hvad ordene betyder, og hvad de forpligter til Hvilke ord der er knyttet til en lov, og hvilke der ikke er.
• Hvad indgår i en sikkerhedsaudit? Områderne, og hvordan omfanget vælges Seks områder og et valg af dybde efter jeres risici.
• Hvad en sikkerhedsaudit ikke kan: garanti, certifikat og godkendelse Forventningerne, der bør afstemmes, før opdraget skrives.
• Tjeklister i en audit: hvor de hjælper, og hvor de skjuler noget Et arbejdsredskab, der aldrig erstatter kriteriet.

Audit eller noget andet

• Sikkerhedsaudit, penetrationstest eller sårbarhedsscanning Tre metoder, der svarer på tre forskellige spørgsmål.
• Sikkerhedsaudit eller revisors IT-revision Regnskabets IT-kontroller over for sikkerheden som helhed.
• Compliance-audit eller sikkerhedsaudit: målt mod regler eller mod jeres risiko To målestokke, der kan give to forskellige svar.
• Intern og ekstern audit: hvem gør hvad, og hvad kan hver bruges til? Skellet går ved, hvem der bestiller, og hvem resultatet tjener.
• Modenhedsvurdering eller efterlevelsesaudit Hvor langt I er nået, eller om kravet er opfyldt i dag.
• Teknisk gennemgang eller audit af styringen Fejlene i opsætningen og årsagen til, at de opstår.
• Audit af virksomheden eller af softwareproduktet To regelsæt for den, der både driver IT og udvikler software.

Uvildighed

• Uvildig og uafhængig: hvad det betyder for en sikkerhedsaudit, og hvordan I prøver det Spørgsmålene, der afslører en interessekonflikt i tide.
• Når IT-leverandøren vurderer sin egen drift Hvad leverandørens egen vurdering kan bruges til, og hvad ikke.

Målestokke, standarder og mærker

• Auditkriterier: hvad en sikkerhedsaudit måler imod, når ingen lov kræver noget Politik, rammeværk, kundekrav eller myndighedsråd som målestok.
• ISO 27001-certificeringsaudit, intern audit efter punkt 9.2 og en sikkerhedsaudit Tre audits med tre formål og tre slags udførere.
• ISAE 3402, ISAE 3000 eller en auditrapport Formen afhænger af, hvem der skal læse resultatet.
• GDPR-audit: fem ting, ordet kan dække Jura, sikkerhed, databehandlere, erklæring eller tilsyn.
• CIS Controls og implementeringsgruppe 1 som målestok En afgrænset ramme, den mindre virksomhed kan følge år for år.
• D-mærket eller en sikkerhedsaudit Et signal til omverdenen over for et redskab til ledelsen.

Sådan bruger I siden

Begynd med grundartiklen, hvis begrebet er nyt. Er I blevet tilbudt en bestemt ydelse, så læs den artikel, der stiller den op mod en audit, før I svarer. Ved I allerede, at I vil have en audit, er auditkriterierne det næste, fordi valget af målestok styrer resten af opdraget. Oversigten over de seks slags sikkerhedsaudit viser, hvor de mere specialiserede former hører hjemme.

Hvad det kræver, og hvad det koster at lade være

Det kræver en times læsning og et møde, hvor ledelsen og den IT-ansvarlige bliver enige om spørgsmålet, auditten skal besvare. Uden den aftale bliver der bestilt en gennemgang ud fra det ord, sælgeren bruger, og rapporten svarer på noget, ingen havde brug for at vide. Så er budgettet brugt, uden at nogen er blevet klogere på det, de ville vide.

Det skal I lade være med

• At bestille ud fra et ord alene · beskriv resultatet, I vil have.
• At lade auditor vælge kriterierne · målestokken er ledelsens beslutning.
• At forvente et certifikat · en audit giver en rapport.

Det skal auditten kunne vise

• ☐ Det spørgsmål, auditten besvarer, skrevet i én sætning.
• ☐ Kriterierne, der er målt imod, og hvorfor de er valgt.
• ☐ Navnet på auditoren og en redegørelse for mulige interessekonflikter.
• ☐ Hvad der ligger uden for omfanget.

Senest gennemgået: november 2026.

Næste skridt

• Hvornår og hvorfor en audit
• Bestilling og forberedelse

Læs også: Seks slags sikkerhedsaudit · Ordliste

→ Kontakt · Tlf. 70 13 63 23 · Cybersikkerhedsaudit hos Nielco IT