安全审计

安全审计应当以一种有益的方式让人不舒服。如果审计结果一片干净、人人如释重负，我会想再确认一下它是否真的测试了什么，还是只确认了策略的存在。我开展的审计围绕一个问题展开：这项控制措施在真实条件下是否真的按应有的方式运行，还是仅仅在纸面上看起来没问题？

我实际测试什么

文档审查是大多数审计止步的地方，却是我开始的地方。从这里起，我进行验证：导出配置，而不是相信一张设置截图；核对实际的访问列表与应有访问权限的人是否一致，而不是依赖一份已过时一年的组织架构图；抽查日志，看本应进行的监控是否真的在进行；并测试一份事件响应计划能否经受真实事件的检验，而不是只是读起来不错。“有文档记载”与“真实存在”之间的差距，是几乎所有重要发现所在之处。

我如何开展审计

我围绕对您最重要的事项来确定审计范围：您需要证明与之保持一致的某个特定框架，某个特定系统或业务单元，或对整个安全态势的一次全面体检；并且在开始之前，我会坦率说明哪些在范围之内、哪些在范围之外，因为审计中途悄悄扩大或缩小范围，得出的结果没人能够信任。审计期间，我追求证据而不是保证：配置、日志、访问记录，以及在有用时，直接测试某项控制措施是否经得起考验。最后，您得到的发现是具体且有优先级的，而不是一份对我所有客户读起来都一样的、泛泛按严重程度评级的清单。

我也会坦率地告诉您哪些方面做得好，因为一场只会发现问题的审计，开始看起来不像诚实的评估，更像是为揽更多活儿而做的推销。有时诚实的发现就是：某项控制措施很扎实，您可以不必再为它担心。

适合哪些组织

适合希望对自身安全态势获得独立外部审视的组织，准备迎接客户或监管审计、想先找出自身缺口的公司，以及希望获得基于测试而不只是供应商自我证明的保证的董事会或高管。

如果您想要真正的审视，而不是橡皮图章，请联系我。