Un audit di sicurezza informatica è una valutazione tecnica del livello di conformità degli obiettivi di sicurezza delle informazioni di un’azienda o di un’organizzazione. La maggior parte delle volte, le aziende assumono specialisti della tecnologia dell’informazione (IT) per eseguire audit, di solito su base casuale o senza preavviso. Uno degli obiettivi principali dell’audit è fornire ai dirigenti un’idea dello stato di salute generale della loro sicurezza di rete. I report sono spesso completi e documentano la conformità insieme a tutti i rischi scoperti. A seconda del tipo di rete e della complessità dei sistemi in questione, a volte è possibile eseguire un controllo della sicurezza del computer su scala ridotta con un programma software dedicato.
Reti, connessioni intranet e accessibilità a Internet hanno reso i rapporti aziendali incredibilmente efficienti, ma con questa efficienza deriva un certo grado di vulnerabilità. I rischi comuni includono hacking, furto di informazioni e virus informatici. Le aziende di solito implementano una serie di programmi software per la sicurezza della rete per mitigare questi rischi. Di solito creano anche regole di best practice che disciplinano l’uso della rete. Un controllo della sicurezza informatica è un modo per i leader aziendali di dare un’occhiata a come funzionano queste misure su base giornaliera.
Gli audit di solito possono essere ristretti o completi come desiderano gli amministratori. È comune per le aziende controllare i singoli reparti e concentrarsi su minacce specifiche, come la sicurezza della password, le tendenze di accesso ai dati dei dipendenti o l’integrità generale della home page aziendale. Un controllo della sicurezza del computer più globale valuta tutte le impostazioni, le disposizioni e le azioni di sicurezza delle informazioni dell’azienda contemporaneamente.
Nella maggior parte dei casi, l’audit non si conclude con un elenco di rischi. Comprendere le potenziali vulnerabilità è molto importante, ma da solo non garantisce la sicurezza della rete. I rapporti di verifica della sicurezza informatica devono anche dettagliare l’uso ordinario, in particolare in che modo tale utilizzo è conforme agli obiettivi di sicurezza di un’azienda, e quindi fornire suggerimenti per il miglioramento.
L’analisi dell’accesso ai dati sensibili è solitamente una parte importante di un controllo della sicurezza del computer. Sapere quali dipendenti hanno avuto accesso ai dati, con quale frequenza e perché può fornire ai leader aziendali alcune informazioni su quanto siano realmente private determinate informazioni. I revisori possono anche esaminare le impostazioni di sicurezza per le risorse aziendali come il sito Web del mainframe e gli account di posta elettronica individuali e di solito possono calcolare quante volte ciascuno è stato connesso durante il periodo di controllo. L’obiettivo qui non è tanto quello di tenere traccia dei singoli dipendenti quanto di avere un’idea dei modelli di traffico medi e di comprendere i modelli di utilizzo comuni.
Più di ogni altra cosa, l’obiettivo principale dell’audit è fornire un quadro generale del panorama della sicurezza informatica. La maggior parte delle aziende pianifica gli audit su base regolare, spesso attraverso i propri reparti IT o con appaltatori esterni. È attraverso questi esercizi che imparano a essere proattivi in risposta alle minacce in evoluzione. Molti aggiornano i loro software antivirus e di sicurezza del computer, modificano i criteri per le password e aumentano la potenza dei firewall in risposta ai risultati e ai consigli dei rapporti di controllo.