Sikkerhetsgjennomgang

Sikkerhetsgjennomgang er en systematisk vurdering av en organisasjons sikkerhetstiltak, som kan omfatte mennesker, prosesser og teknologi, for å identifisere sårbarheter, trusler og risikoer knyttet til informasjonssikkerhet, personvern og operasjonell sikkerhet. Den kan utføres av interne ressurser eller av eksterne konsulenter og kan ha et bredt eller snevert omfang avhengig av behovet og risikoene i virksomheten.

Formål og omfang

Formålet med en sikkerhetsgjennomgang er å gi ledelsen et helhetlig bilde av sikkerhetsnivået, vurdere effektive tiltak og identifisere forbedringsområder. Omfanget kan dekke tekniske kontroller som tilgangsstyring, autentisering, kryptering, logging og beredskap, samt organisatoriske kontroller som sikkerhetspolicyer, opplæring, hendelseshåndtering og leverandørstyring. Fysiske sikkerhetsaspekter og beredskaps- og gjenopprettingsplaner kan også inkluderes. Overordnet tar den sikte på å alignere sikkerheten med virksomhetens mål og krav til personvern og regelverk.

Metodikk og leveranser

En sikkerhetsgjennomgang følger vanligvis en riskbasert tilnærming som inkluderer dokumentgjennomgang, intervjuer, arkitektur- og designvurdering, kontrollvurdering og gap-analyse. Resultatet er en rapport som beskriver identifiserte svakheter, risikonivå, eieransvar og prioriterte tiltak med anbefalinger og tidsrammer. Rapporten brukes av ledelsen til beslutninger om forbedringsprogrammer, budsjettering og compliance.

Relasjoner til standarder og praksis

Sikkerhetsgjennomganger er ofte knyttet til rammeverk og standarder som ISO/IEC 27001, NIST eller relevante personvernkrav. De skiller seg fra tekniske sikkerhetstester eller penetrasjonstesting ved at de i større grad fokuserer på eksisterende kontroller og prosesser, ikke aktiv utnytting av sårbarheter.