ارزیابی انطباق امنیتی

انطباق امنیتی صرفاً با تدوین چند سند حاصل نمی‌شود. سازمان باید دامنه الزامات را دقیق بشناسد، برای اجرای کنترل‌ها شواهد قابل ردیابی داشته باشد و نشان دهد کنترل‌ها در عمل و به‌صورت مستمر مؤثرند. مالکیت نامشخص، سیاست‌های قدیمی و شواهد ناقص می‌توانند هم ریسک ممیزی و هم ریسک واقعی امنیت را افزایش دهند.

راو ابتدا معیارها، دامنه و واحدهای درگیر را با ذی‌نفعان تعیین می‌کند. سپس مستندات حاکمیتی، تنظیمات فنی، سوابق و شواهد کنترل‌ها بررسی می‌شوند و از طریق مصاحبه و اعتبارسنجی هدفمند، وضعیت موجود با چارچوب منتخب مقایسه می‌شود. متناسب با دامنه، حوزه‌هایی مانند مدیریت دارایی، کنترل دسترسی، آسیب‌پذیری، ثبت رویداد، پاسخ‌گویی به رخداد، تداوم، امنیت تأمین‌کنندگان و آگاهی کارکنان پوشش داده می‌شوند.

یافته‌ها میان کنترل‌های اجرا‌نشده، ناقص و کم‌اثر تمایز ایجاد می‌کنند و کیفیت شواهد، وابستگی‌ها و پیامد کسب‌وکاری را توضیح می‌دهند. اقدامات اصلاحی بر اساس ریسک و اهمیت کسب‌وکار اولویت‌بندی می‌شوند. خروجی برای مدیریت اصلاحات و آمادگی ممیزی طراحی شده است؛ اما به‌معنای صدور گواهی، مشاوره حقوقی یا تضمین پذیرش نهاد ناظر نیست.