Audit

Audits inddeles efter, hvem der udfører dem. Førstepartsaudits er interne audits udført af eller på vegne af organisationen selv; andenpartsaudits udføres af en kunde eller anden interessent hos en leverandør, ofte med hjemmel i en kontraktlig auditret som GDPR art. 28, stk. 3, litra h; tredjepartsaudits udføres af et uafhængigt organ, fx et certificeringsorgan eller et revisionsfirma, der afgiver en erklæring. Den generelle metode for audit af ledelsessystemer er ISO 19011:2018, som fastsætter syv principper (integritet, retvisende fremstilling, faglig omhu, fortrolighed, uafhængighed, evidensbaseret tilgang og risikobaseret tilgang) og beskriver styring af et auditprogram og gennemførelse af de enkelte audits. ISO/IEC 27007 tilføjer vejledning specifikt for ISMS, og ISO/IEC TS 27008 dækker teknisk vurdering af informationssikkerhedskontroller.

ISO/IEC 27001:2022 punkt 9.2 kræver interne audits med planlagte mellemrum for at fastslå, om ISMS'et lever op til organisationens egne krav og standarden, og om det er effektivt implementeret og vedligeholdt. Punkt 9.2.2 kræver et auditprogram med hyppighed, metoder, ansvar og rapportering, der tager højde for processernes betydning og resultaterne af tidligere audits, fastlagte kriterier og omfang for hver audit, auditorer udvalgt, så objektivitet og upartiskhed sikres, rapportering af resultaterne til relevant ledelse og opbevaret dokumentation. I praksis betyder objektivitet, at auditorer ikke auditerer deres eget arbejde; små organisationer køber derfor ofte den interne audit hos en ekstern konsulent.

En audit sammenholder auditbevis (registreringer, konfigurationsudtræk, systemlogs, interviewudsagn, observation) med auditkriterier (politik, standardkrav, kontrakt, lov). Da fuld gennemgang sjældent er mulig, arbejder auditor med stikprøver: fx udvælges fratrådte medarbejdere i HR-systemet, og det spores, om deres konti blev lukket inden for politikkens frist. Fund graderes typisk som større afvigelse (en påkrævet proces mangler eller er brudt helt sammen), mindre afvigelse (et enkeltstående svigt), observation eller forbedringsmulighed. Afvigelser føder korrigerende handlinger efter punkt 10.2, som kræver årsagsanalyse og vurdering af effekten, ikke blot rettelse af det konkrete tilfælde.

Flere nabobegreber forveksles ofte med audit. En gap-analyse er en sammenligning før implementering, som regel foretaget af organisationen selv og uden krav til bevisførelse. En penetrationstest eller sårbarhedsscanning tester teknisk eksponering, ikke overensstemmelse med kriterier. En revisorerklæring som ISAE 3402, ISAE 3000 eller SOC 2 afgives af et revisionsfirma efter erklæringsstandarder og dækker i type 2-udgaven kontrollernes funktionalitet over en periode frem for på et tidspunkt; danske databehandlere leverer ofte ISAE 3000-erklæringer om GDPR-overholdelse. Tilsynsaudits er en særskilt kategori: NIS2 art. 32 giver myndighederne mulighed for at pålægge væsentlige enheder regelmæssige og målrettede sikkerhedsaudits.