säkerhetsgranskningar

Säkerhetsgranskningar är systematiska utvärderingar av en organisations skydd mot hot, inklusive policyer, processer, tekniska komponenter samt fysiska och organisatoriska åtgärder. Syftet är att identifiera sårbarheter, bedöma risker och föreslå åtgärder som ökar skyddet för information, personal och verksamhetens kontinuitet. Granskningar kan innefatta informationssäkerhet, fysisk säkerhet, personal- och operationssäkerhet samt hantering av incidenter och katastrofberedskap.

Metoderna varierar men vanliga inslag är dokumentgranskning, intervjuer, och tekniska tester som sårbarhetsbedömningar och penetrationstester samt granskning av säkerhetsarkitektur och styrdokument. Granskningar följer vanligtvis en plan, samlar in information, bedömer risker enligt en riskmodell, och dokumenterar avvikelser och rekommendationer. Vanliga standarder och ramverk som kan tillämpas är ISO/IEC 27001, ISO/IEC 27005, NIST Cybersecurity Framework och COBIT. Juridiska krav och branschförordningar som GDPR, tillsynsövervakning och försäkringsvillkor kan påverka omfattningen.

Resultaten presenteras i en granskningsrapport och ofta en handlingsplan med prioriterade åtgärder och tidsramar. Granskningar används för att stärka efterlevnad, säkerställa affärskontinuitet och underlätta riskstyrning. De skiljer sig från penetrationstester genom att de har ett bredare fokus på processer, kontroller och ledningsförmåga snarare än att genomföra praktiska försök att bryta sig in. Uppföljning och upprepad granskning är vanligt för att verifiera genomförda åtgärder och öka säkerhetsnivån över tid.