Säkerhetsrevision och granskning av efterlevnad

Revisorer samlar in tre typer av bevis: dokumentation (policyer, procedurer och konfigurationsguider), observation (systemkonfigurationer och genomgångar av processer) samt testning (att prova kontroller och granska loggar). Bevisen måste vara tillräckliga, tillförlitliga och relevanta för varje kontroll som bedöms.

Säkerhetspolicyer anger avsikten, medan procedurer beskriver hur policyerna implementeras. Revisorer verifierar att policyer finns och är godkända, att procedurer är aktuella och följs, att utbildningsregister visar personalens kännedom samt att processer för undantag dokumenterar godkända avvikelser.

Tekniska kontroller verifieras genom direkt granskning: granska brandväggens regeluppsättningar, testa försök att kringgå MFA, granska patchnivåer, revidera medlemskap i Active Directory-grupper, kontrollera krypteringskonfigurationer och verifiera att säkerhetskopior kan återställas. Dokumentation av kontroller räcker inte – de måste testas.

SOC 2 är en revision enligt Trust Services Criteria som genomförs av CPA-byråer. Type I bedömer kontrollernas utformning vid en viss tidpunkt. Type II bedömer utformning och effektiv funktion under en period på 6–12 månader. SaaS-företag tar fram SOC 2 Type II-rapporter för kunders due diligence.

PCI-DSS kräver årlig bedömning för handlare och tjänsteleverantörer. Qualified Security Assessors (QSA) genomför granskningar på plats av alla 12 krav. Genom att minska omfattningen via nätverkssegmentering begränsas miljön för kortinnehavardata och komplexiteten i bedömningen.

Fynd är kontrollbrister som kräver åtgärder. Observationer är förbättringsmöjligheter utan en aktuell kontrollbrist. Varje fynd innehåller: tillstånd (vad som är), kriterium (vad som bör vara), orsak (varför), effekt (påverkan) och rekommendation (hur det ska åtgärdas).

Skapa en Plan of Action and Milestones (POA&M) för varje fynd: ansvarig, måldatum, tillfälliga kompenserande kontroller och status. Följ upp åtgärdsarbetet varje månad. Revisorer granskar statusen för POA&M vid uppföljningsbedömningar eller nästa årliga granskning.

Årliga revisioner är otillräckliga i dynamiska miljöer. Kontinuerlig efterlevnadsövervakning med AWS Config, Azure Policy eller kommersiella CSPM-verktyg ger en aktuell efterlevnadsstatus i realtid. Skicka resultaten till SIEM-systemet för att skapa aviseringar om avvikelser från efterlevnaden mellan revisionscyklerna.

Inför revisionen: genomför en intern beredskapsbedömning, organisera bevis i en plattform för revisionshantering, informera kontrollansvariga om bedömningsprocessen, åtgärda kända luckor innan revisorerna anländer och utse en enda kontaktperson som effektivt samordnar begäranden om bevis.

Säkerhetsrevisioner ger oberoende säkerhet om att kontroller är utformade och fungerar effektivt. Insamling av bevis, testning av tekniska kontroller, uppföljning av åtgärder och kontinuerlig efterlevnadsövervakning mellan årliga revisioner skapar tillsammans ett robust efterlevnadsprogram som tillgodoser kunders och tillsynsmyndigheters behov samt den interna riskhanteringen.